一个补丁卖八万，漏洞卖货这不是漏洞卖货段子。去年秋天，漏洞卖货某安全公司从甲方那里拿到一笔预算，漏洞卖货专门收购某国产OA系统的漏洞卖货0day。条件很直白：要能RCE，漏洞卖货要稳定触发，漏洞卖货要支持最新版。漏洞卖货三天后，漏洞卖货有人在TG群里挂出报价，漏洞卖货八万人民币，漏洞卖货附了一段演示视频——弹计算器，漏洞卖货干净利落。漏洞卖货买家没还价，漏洞卖货直接走USDT结算。漏洞卖货

这行当早就不遮遮掩掩了。漏洞就是货，明码标价，看版本看权限看利用链长度。以前还讲究个"技术交流"，现在全是生意。你打开某些论坛的"交易区"，帖子格式统一得像电商详情页：影响版本、利用条件、是否需认证、有没有WAF绕过、支持哪些语言环境。底下跟帖问"能不能便宜点"的，多半是中间商。

我认识一个做漏洞挖掘的老哥，白天在甲方做渗透测试，晚上自己挖。他跟我说，卖给厂商？一个高危给五千算客气，还得等三个月审核，最后可能告诉你"业务场景不认可"。卖给漏洞平台？抽成高，流程慢，还得签一堆保密协议。卖给地下？"一手交钱一手交货，比特币到账，连对方是人是狗都不用知道。"他说这话时正在吃黄焖鸡米饭，筷子戳着碗里的土豆，语气平淡得像在聊外卖红包。

价格怎么定的？看"杀伤力"。普通XSS，几百到两千；SQL注入能拖库的，五千起步；RCE直接五万打底。如果是那种"一键getshell、无需认证、通杀全版本"的，十万也有人抢。有个做金融的客户，为了一个能绕过他们风控系统的逻辑漏洞，私下出了十五万。漏洞提供方还附赠了一份"修复建议"——当然，建议里留了个后门，方便下次再卖。

中间商赚差价这事也常见。有人专门从技术型挖洞者手里低价收，转手加价卖给APT组织或者某些"有需求"的企业。一个能打穿某省政务云的内网渗透链，从最初的发现者到最终买家，经手四道，价格翻了六倍。最讽刺的是，最后那道贩子，用的还是上一个买家泄露出来的利用工具。

厂商这边呢？大部分时候是最后知道的。某次一个电商平台的支付逻辑漏洞，在圈子里卖了两个月，直到有人用它改了订单金额，平台才紧急发补丁。安全负责人后来在内部会上拍桌子："我们的SRC（安全应急响应中心）最高奖金才给两万，人家黑市出价二十万，你让白帽子怎么选？"

这事有个死循环。厂商觉得漏洞不值钱，白帽子觉得厂商在打发要饭的，黑市觉得你们都是冤大头。最后谁吃亏？用产品的普通人。你注册的每一个账号、填的每一条地址、绑的每一张卡，在某个聊天记录里可能就值一个打包价。

写这些不是教人卖漏洞。只是这行当已经长成了地下经济的一条粗血管，堵不住，也绕不开。有人靠它年入百万，有人因为它进去踩缝纫机。区别往往只在于——你卖给了谁，以及，你有没有留那个后门。

(责任编辑：探索)