乌云漏洞库的漏洞镜像站，说白了就是库镜一群不甘心的人给互联网留的备份。2016年乌云关停那天，像站我还在读大学，漏洞宿舍里几个搞安全的库镜哥们儿盯着屏幕骂了一晚上。那会儿谁也没想到，像站这个曾经国内最大的漏洞漏洞报告平台，说没就没了。库镜后来有人把乌云的像站公开数据扒下来，做了镜像站，漏洞散落在GitHub和几个小众服务器上。库镜我去年找资料的像站时候偶然翻到一个，页面简陋得像2005年的漏洞个人主页，但数据还在，库镜几万条漏洞报告，像站时间戳停在2016年7月。

镜像站这东西，技术含量其实不高。核心就是爬虫加静态化。乌云当年的公开接口没做太复杂的反爬，有人用Python写了个脚本，把漏洞标题、厂商、提交时间、公开状态全抓下来，存成JSON或者SQLite。然后套个简单的Web框架，Flask或者Django，前端用Bootstrap随便糊一下，能搜能翻页就行。我见过最糙的一个镜像站，连CSS都没加载全，但搜索框能用。这玩意儿不需要多漂亮，数据在，就是全部意义。

但问题来了——这些镜像站活得都不长。我收藏夹里曾经有五六个，现在能打开的只剩两个。有的因为服务器到期没续费，有的被厂商投诉下架，还有的纯粹是维护者懒得管了。有个镜像站首页挂着一行字：“数据来自乌云公开库，仅供学习，请勿用于非法用途。”下面跟了个捐赠二维码，扫进去是个人收款码。挺真实的，搞安全的人大多不富裕，靠爱发电的事，能撑一年是一年。

数据本身也有坑。乌云当年的漏洞报告分两种：公开的和未公开的。镜像站抓到的只有公开部分，那些还在厂商修复期的漏洞，早就跟着服务器一起消失了。所以你现在去镜像站搜“某电商平台SQL注入”，能看到的都是2015年之前的旧账。新漏洞？不存在的。这就像个时间胶囊，封存的是中国互联网安全的一个特定阶段——那时候白帽子还愿意把漏洞交出来，厂商还愿意认账，平台还能当中间人。

我认识一个做镜像站的人，网名叫“老K”，在郑州一家小安全公司上班。他那个镜像站跑在一台阿里云最低配的ECS上，每年续费三百多块。他说纯粹是舍不得。“乌云没了之后，很多新人连漏洞报告长什么样都不知道。现在全是SRC，全是积分，全是内部流转。公开的漏洞库？只剩CNVD和CNNVD，但那俩的颗粒度跟乌云完全不是一回事。”他这话我琢磨了很久。乌云的价值不在于技术多牛，而在于它把漏洞这件事从暗处拽到了明处。镜像站就是那盏灯的备用电池。

访问这些镜像站的时候，我总有种逛废墟的感觉。页面加载慢，图片挂了一半，有些链接点进去是404。但搜索框里敲个“Struts2”，还是能出来几十条报告，时间集中在2013到2015年。点开一条，漏洞详情、修复建议、厂商回应，写得清清楚楚。评论区虽然没了，但报告本身还在说话。这种体验很奇怪——你明知道这些数据已经过时了，漏洞早修了，厂商可能都倒闭了，但还是会一条条翻下去。像是在考古。

最后说个实际的问题：镜像站的法律风险一直悬着。乌云当年关停，官方说法是“内部调整”，但圈里人都知道跟数据合规有关。镜像站把公开数据重新发布，严格来说也踩在灰色地带。所以大部分镜像站都低调得不行，不备案，不推广，知道的人越少越好。我写这篇文章，不打算贴任何具体链接。想找的人自然能找到，找不到的，说明还没到需要翻故纸堆的时候。

数据这东西，丢了就是丢了。镜像站能做的，只是让丢失的速度慢一点。