乌云漏洞平台

乌云漏洞平台死了。漏洞不是平台慢慢衰落，是漏洞突然关停。2016年7月，平台那个页面就那样挂着，漏洞像一具没来得及收殓的平台尸体。我至今记得那天刷到的漏洞截图，白底黑字，平台连个像样的漏洞告别公告都没有。 这平台活着的平台时候，是漏洞另一番光景。白帽子们半夜三点还在上面提交漏洞，平台有人为了一个SQL注入点能跟厂商客服吵上两个小时。漏洞那种较真劲儿，平台现在想想挺傻的漏洞，但那时候大家都觉得，自己是在修补这个数字世界的裂缝。我认识一个大学生，靠乌云上的rank积分拿了某大厂的offer，面试官说，看过他提交的几个漏洞报告，写得比公司内部文档还清楚。 但乌云真正的价值不在技术。它是个透明的黑盒子，把那些厂商想藏起来的伤疤全掀开了。某个知名社交软件的越权漏洞，某家银行APP的明文密码存储，这些在乌云上都是公开的。厂商们恨得牙痒痒，可又不得不派人来认领漏洞，修复，然后发公告说“感谢乌云白帽子的贡献”。那语气，跟吞了苍蝇似的。 转折点在2015年。监管的风向变了，乌云开始频繁收到整改通知。有些漏洞报告被要求下架，说是“涉及国家安全”。内部也乱，创始团队对商业化路线有分歧，有人想转型做企业安全服务，有人坚持公益路线。那会儿我去过他们办公室，工位上贴满了便签纸，上面写着一堆我看不懂的术语，角落里堆着没拆封的方便面箱。氛围很奇怪，既亢奋又焦虑。 后来就出事了。某央企的漏洞被挂出来，没过多久，乌云就彻底打不开了。官方说法是“升级维护”，但圈内人都知道，回不来了。那些曾经在乌云上活跃的白帽子，有的去了安全公司，有的干脆转了行。有个老哥跟我说，他现在挖到漏洞都直接卖给厂商，签保密协议，赚的钱比在乌云上拿rank换礼品多多了。他说这话时，脸上没什么表情，但我知道他在想什么。 乌云留下的真空，到现在也没被填上。后来的漏洞平台都学乖了，只对签约客户开放，漏洞报告先给厂商看，七天之后才公开。这流程安全，合规，但总觉得少了点什么。少了那种你半夜提交一个漏洞，天亮就能看到几百条评论讨论技术细节的兴奋感。少了那种你发现一个影响千万用户的漏洞，不用藏着掖着，可以直接甩到台面上让厂商必须修的痛快。 现在偶尔还会有人翻出乌云的离线备份，当资料库查。那些漏洞报告像化石一样，记录着中国互联网野蛮生长时代的疤痕。平台死了，但那些被暴露过的问题，逼着厂商们把安全预算提了上来。这大概就是乌云最后的价值——它用一场壮烈的死，换来了整个行业对漏洞的敬畏。