凌晨三点，出售漏洞我在一个漏洞交易平台的出售漏洞私信栏里看到一条新消息。对方ID是出售漏洞一串乱码，头像空白，出售漏洞开口就问：“你手上那个SQL注入的出售漏洞洞，能不能打包卖？出售漏洞连报告带利用代码，一口价。出售漏洞”我盯着屏幕，出售漏洞手指悬在键盘上，出售漏洞愣了几秒。出售漏洞这个洞是出售漏洞我上周在某个开源商城系统里挖到的，本来只想写篇技术博客，出售漏洞没想过要卖。出售漏洞

但他说“打包”这个词，出售漏洞让我突然意识到一件事——漏洞这东西，出售漏洞早就不再是黑客圈子里炫耀技术的资本了。它变成了商品，有规格、有定价、有售后，甚至还有“保修期”。你发现一个洞，就像在旧货市场淘到一件古董，得先估个价，再找个靠谱的买家。买家可能是厂商，可能是安全公司，也可能是某个国家的情报机构。

我认识一个专门做这个的哥们儿，外号“老猫”。他不上班，靠挖洞维生，每月收入不稳定，但运气好的时候，一个零日漏洞能卖到六位数。他跟我说过一句糙话：“漏洞就是数字世界的房地产，位置好的，永远不愁卖。”他所谓的“位置好”，是指那些影响面广、利用难度低、但官方还没打补丁的洞。有一次他挖到个路由器固件的远程执行漏洞，那款路由器在国内出货量几百万台，他连夜写了份英文报告，挂到某个国际平台上，第二天就有人出价。

但交易没那么简单。漏洞这东西，卖出去就收不回来了，你得考虑后果。卖给厂商，他们可能拿去修，补丁一发布，洞就废了，你拿到的钱顶多是个“发现奖金”。卖给中间商，他们转手加价卖给下游，下游可能是企业安全团队，也可能是黑产团伙。你没法控制买家拿去干嘛，就像你卖出一把刀，不知道对方是切菜还是伤人。

我犹豫了几天，最后还是没卖那个SQL注入洞。不是因为道德感多高，而是我算了笔账——那套开源商城系统用户量不大，顶多几千个站点在用，卖不出好价钱。与其折腾，不如把分析过程写出来，发到技术社区，还能攒点名气。老猫听我说完，在电话那头笑了一声：“你这就是典型的散户思维，只看眼前流量，不懂长线布局。漏洞的价值不在当前用户量，在于它背后的数据链。你那个洞能拖库，能拿管理员账号，能横向渗透，懂行的人买回去，能挖出更值钱的东西。”

他说的没错。漏洞交易市场早就不按“破坏力”定价了，而是按“潜在收益”定价。一个看似不起眼的逻辑漏洞，如果能让攻击者绕过支付流程，那它的价值可能比一个能瘫痪整个服务器的拒绝服务漏洞高十倍。买家买的不只是代码缺陷，是一种可能性——可能撬开某个银行系统的门，可能拿到几百万条用户记录，可能让某个政府网站短暂失灵。

后来我在一份行业报告里看到，全球漏洞交易的黑市规模每年增长超过30%，正规的漏洞赏金平台也在膨胀。两边都在抢资源，抢那些像我一样半夜还在挖洞的技术宅。有些平台搞拍卖制，漏洞信息挂出来，买家竞价，价高者得。有些平台搞订阅制，企业按月付费，定期获取漏洞情报。市场越来越成熟，甚至出现了“漏洞保险”——你卖出去的洞如果被公开了，平台赔你一笔钱。

可我心里总有个疙瘩。每次看到新闻里说某公司数据泄露、某医院系统被勒索，我都会想，那些被利用的漏洞，最初是不是也像我的SQL注入洞一样，躺在某个人的硬盘里，等着被人标价。技术本身没有善恶，但出售漏洞这件事，像在悬崖边跳舞——你永远不知道买家踩的是哪一步，也不知道自己这一跳，会带起多大的风。

最终我把那个洞的报告留在了本地文件夹里，没卖，也没公开。偶尔翻出来看看，提醒自己这行当的水有多深。老猫还在继续做他的买卖，上个月他跟我说，他刚出手了一个零日，买家是家欧洲的安全公司，对方要得急，连验证代码都没仔细看。他劝我：“别想太多，这就是门生意。你写代码，别人写代码，都为了吃饭。漏洞不过是另一种代码，只是它天生带着裂痕。”

裂痕这东西，有人拿来补，有人拿来拆。我还没想好自己到底属于哪一边。