网络漏洞网站

一个周二的网络网站凌晨三点，我盯着屏幕上的漏洞红色警告框，后背发凉。网络网站那不是漏洞我的服务器，是网络网站隔壁创业公司朋友的。他们刚上线半年的漏洞支付系统，被一个SQL注入漏洞直接拖走了用户数据库。网络网站攻击者用的漏洞工具，就挂在某个公开漏洞网站上，网络网站点开就有现成的漏洞payload，连参数都不用改。网络网站

漏洞网站这东西，漏洞有点像黑市的网络网站军火库。表面上看，漏洞它们不过是网络网站些贴满代码片段的技术论坛，可实际上，每一行都是上膛的子弹。有个叫“漏洞银行”的站点，注册用户超过十万，里面从路由器固件到银行App的零日漏洞，明码标价。有一次我随手翻看，发现某个国产智能门锁的认证绕过漏洞，帖子下面跟了二十多条回复，全是求教怎么利用的。

更魔幻的是，这类网站的运营模式。一部分靠众测众包赚赏金，白帽子们合法地挖洞换钱。另一部分，干脆就是灰色产业链的中间站。有个老哥在帖子里吹嘘，他靠复现某个知名CMS的漏洞，半年赚了辆Model 3。底下有人酸他：“你那是挖洞吗？你那是抄作业。”这话糙理不糙——公开的漏洞库，本质上是把攻击门槛从“专家级”降到了“小学生级”。

我认识一个安全研究员，他每天的工作就是盯这些网站的更新。他跟我说过一句让我印象极深的话：“漏洞网站是面镜子，照出的是整个行业的傲慢与懒惰。”很多厂商觉得产品上线就算完事，结果漏洞被挂到网上公示了，才慌慌张张地发补丁。有些漏洞甚至被挂了两三年，厂商连个回应都没有——不是不知道，是懒得修，觉得影响面小。

但漏洞网站最可怕的地方，不是漏洞本身，而是它让“攻击民主化”了。以前搞网络攻击需要极高的技术门槛，现在呢？一个只会用搜索引擎的普通人，花半小时就能学会怎么用扫描器找目标站点，再花十分钟从漏洞库下载现成的利用代码。去年某地级市的政务网站被篡改，警方查下来，攻击者居然是个高中生，他就是在漏洞网站上看到那个建站系统的漏洞帖子，照着试了试，居然成功了。

当然，也有另一面。没有这些公开的漏洞披露，很多安全问题可能永远没人发现。就像当年的心脏出血漏洞，如果不是白帽子在公开场合捅出来，全球三分之二的服务器可能还裸奔着。漏洞网站，某种程度上是网络世界的“吹哨人”——虽然这个哨子有时候吹得太响，把狼也招来了。

我翻了下那些帖子的评论区，发现个有意思的现象。提问的人大多问“怎么打”，而回答的人有时会怼一句“先学学TCP/IP吧”。这种微妙的张力，恰恰说明漏洞网站内部也在分化——一部分人想靠技术吃饭，另一部分人只想靠工具发财。管理员有时候会删掉太露骨的攻击教程，但更多时候，他们睁一只眼闭一只眼，毕竟流量就是网站的命根子。

回到凌晨三点那个场景。我帮朋友临时封了IP，改了数据库权限，折腾到天亮。后来他在漏洞网站上搜到自己系统的名字，发现那个漏洞早在半年前就有人提交了，只是他们压根没关注过安全公告。他苦笑说：“原来不是黑客太厉害，是我们自己把门敞开了。”

漏洞网站不会消失，就像锁匠铺子不会消失一样。问题是，你是拿它来配钥匙，还是研究怎么撬锁。这个分寸，靠的不是网站管理员的自觉，而是每个使用者的手。至少对我而言，现在每写一行代码，都会下意识想想：这玩意儿要是被挂到那个网站上，我该怎么收场。

本文地址：http://www.79wt.cn/news/975b1299012.html