国内漏洞响应平台，国内说白了就是漏洞一群“白帽子”黑客和厂商之间的中间人。它们存在的平台理由很简单：漏洞这东西，没人发现不代表不存在，国内只是漏洞还没人捅破那层窗户纸。2000年出头那会儿，平台国内的国内安全圈还靠论坛发帖交换情报，漏洞信息散得像一锅粥。漏洞直到乌云网2010年上线，平台才第一次有人把漏洞报告、国内厂商响应、漏洞公开披露这套流程正经跑起来。平台 乌云当年是国内真猛。注册白帽子动辄上万，漏洞提交的平台漏洞从某电商后台越权到某政府网站SQL注入，五花八门。有个经典案例，2014年某知名社交软件的任意用户登录漏洞，被白帽子挖出来后直接提交乌云，厂商当天就发了修复版。但乌云的死穴在于公开——漏洞细节公示期一到，谁都能看，包括黑产。2016年乌云因“涉嫌非法提供网络漏洞信息”被关停，圈内人心里都清楚，这跟它公开漏洞库的模式脱不了干系。 乌云没了，补天、漏洞盒子、CNVD（国家信息安全漏洞共享平台）顶了上来。这几家路子不太一样。补天背靠奇安信，走企业SRC（安全响应中心）托管模式，厂商自己定赏金规则，白帽子提交漏洞换钱，平台抽成。漏洞盒子更侧重众测，企业把系统丢上去，白帽子像打游戏一样接任务，按漏洞等级拿奖金。CNVD则是官方背景，主要收国家级关键信息基础设施的漏洞，流程慢但权威性高。 现在的平台格局挺有意思。头部厂商像阿里、腾讯、字节，早就自建了SRC，自家漏洞自家收，赏金动辄十万起步。第三方平台反而转向中小企业和政务系统——这些单位养不起专职安全团队，又必须过等保测评，只能靠平台兜底。我认识一个在补天混了三年的白帽子，他跟我说，现在挖漏洞早就不靠技术碾压了，拼的是信息差。比如某地方政府网站用的老旧CMS，官方早停止维护，但系统还挂在公网上，他拿公开的CVE（公共漏洞披露）库比对版本号，一挖一个准，单子小但胜在量多。 平台自身也在变。以前是纯中介，现在都搞“漏洞验证报告+修复建议”打包服务，甚至帮厂商做复测。漏洞盒子前两年上线了“漏洞全生命周期管理”功能，从提交到修复全程追踪，厂商不响应就邮件电话连环催。这倒是好事，毕竟以前最烦的就是提交漏洞后石沉大海，厂商拖到漏洞被公开利用才着急。 说到底，国内漏洞响应平台这几年最大的变化，是从“江湖气”转向“生意经”。早期乌云那批人讲究的是“技术炫耀+公益情怀”，现在的白帽子更务实，看赏金、看信誉分、看平台抽成比例。平台也不装了，明码标价写清楚高危漏洞最低五千起，跟卖菜似的。但这就是现实——漏洞经济已经成了产业链，只要还有人写代码，就永远有漏洞可挖，平台就永远有饭吃。至于哪天会不会再出一个像乌云那样理想主义的平台？悬。毕竟大家都学乖了，先活下来，再谈其他。