内容摘要：乌云镜像站，听起来像什么黑客暗号，其实是个挺直白的玩意儿——把乌云漏洞平台当年公开的漏洞报告，原封不动地搬到一个新域名下，让它继续活着。我点进去的时候，界面还是老样子，白底黑字，密匝匝的漏洞列表，连C

乌云镜像站，镜像听起来像什么黑客暗号，镜像其实是镜像个挺直白的玩意儿——把乌云漏洞平台当年公开的漏洞报告，原封不动地搬到一个新域名下，镜像让它继续活着。镜像我点进去的镜像时候，界面还是镜像老样子，白底黑字，镜像密匝匝的镜像漏洞列表，连CSS都没换。镜像

这个站是镜像2023年冒出来的。乌云网2016年关停后，镜像官方数据包其实泄露过，镜像有人拿它搭了个离线查询库，镜像后来域名挂了，镜像又有人接力。镜像站的站长在页面底部留了一行字：数据截至2016年7月，仅供安全研究。就这么一句话，再没别的废话。

我翻了翻，发现一个挺有意思的现象——2014年的漏洞报告里，SQL注入占了快一半，很多还是电商和政务网站。放到今天看，这些漏洞低级得让人发笑，可当年这些厂商的应急响应速度，平均是三天到一周。有个帖子标题我记得很清楚：某银行手机银行APP存在逻辑漏洞，可无限转账，提交时间是凌晨两点，底下跟了三十多条评论，全在讨论怎么复现。十年过去，这家银行的APP我还在用，也不知道那个洞补没补干净。

镜像站最珍贵的地方，不是漏洞本身，而是那些攻击者的思路。有人为了证明一个支付漏洞，把整个交易流程画成了ASCII流程图；有人拿自己学校的教务系统练手，报告里还带着点不好意思的语气；更有意思的是，某个厂商的安全工程师直接在漏洞下面回复：已确认，下个版本修复，感谢提交。这种对话在今天的漏洞平台几乎绝迹——现在都用SRC系统、积分奖励、法律函件，冷冰冰的。

当然，镜像站也有毛病。搜索功能基本是坏的，按厂商名过滤会漏掉一半结果，数据表里还混着不少重复条目。有人留言骂站长不上心，站长隔了三个月才回一句：能看就行，别要求太多。这种态度反倒让我觉得真实——他大概只是不想让这批数据烂在硬盘里，至于做不做成精品产品，压根没想过。

我待了一个多小时，翻到2015年一个关于智能摄像头的漏洞。提交者写了一段话：“这摄像头能远程被人控制，白天看客厅，晚上看卧室，厂商说这是用户自己没改默认密码，不算漏洞。”底下没人回复，像一桩悬案。我顺手查了下那家厂商，倒闭了，产品早停售。可那个摄像头的固件，现在还能从第三方论坛下载到。

乌云镜像站就这么杵在互联网的角落，没流量、没维护、没宣传。它像一本旧病历，记录着中国网络安全行业最野蛮生长期的症状。偶尔有人路过，翻两页，想起当年那些漏洞是怎么被挖出来、怎么被修复、怎么被遗忘的。然后关掉页面，该干嘛干嘛去。