漏洞牟利

网络安全圈子里管这叫“捡洞”，漏洞牟利比挖洞更下作。漏洞牟利挖洞好歹是漏洞牟利技术活，捡洞纯粹是漏洞牟利趁火打劫——别人刚爆出漏洞，你连夜写脚本全网扫，漏洞牟利专挑没打补丁的漏洞牟利服务器下手。

去年某云厂商的漏洞牟利存储桶配置错误，被人扒出来泄露了上亿条用户数据。漏洞牟利消息在暗网论坛挂了三天，漏洞牟利明码标价，漏洞牟利一毛钱一条。漏洞牟利更讽刺的漏洞牟利是，那个捅娄子的漏洞牟利是个刚入职的实习生，把权限设成了“所有人可读”。漏洞牟利这漏洞压根不需要什么黑客技术，漏洞牟利会用浏览器的人都能拖走整个数据库。

可你知道最魔幻的是什么吗？那批数据转了几手之后，居然流回了厂商自己合作的催收公司手里。他们拿着这些“捡来”的信息，精准定位到逾期用户，电话打到人家公司前台。一条数据在黑市上从一毛涨到三块，催收公司照样觉得划算——毕竟正规渠道买名单，一条要五块呢。

我认识一个搞安全测试的老哥，他专门盯着新出的开源软件。每次CVE公告一发布，他就开始计时，看谁最快把漏洞利用代码写出来。他说这行当有个潜规则：“公布漏洞后的72小时是黄金期，打补丁的人永远追不上写利用脚本的人。”他曾经在某个论坛上见过一个帖子，标题就叫《XX系统最新RCE，附送批量工具》，底下跟帖的人都在问“稳不稳”，没人问“合不合法”。

漏洞牟利最恶心的地方在于，它把技术人员的尊严按在地上摩擦。稍微有点本事的白帽子，提交一个高危漏洞给厂商，赏金也就几千块。可你要是把同样的漏洞卖给黑产，开价能翻十倍。更别提那些蹲在暗网里的中间商，他们专门游说白帽子：“兄弟，你这技术留着也是留着，不如……”

有个案例我一直记得。某家小公司的程序员，发现自己写的代码有SQL注入漏洞。他没上报，而是先自己写了个防御脚本，然后又写了个攻击脚本。他把攻击脚本挂在服务器上，专门扫同行的网站。被抓的时候，他电脑里存着两百多个数据库的备份，最小的也有几十万条记录。他说自己只是想“练练手”，可法官不这么想——判了三年。

你问漏洞到底算谁的？理论上属于厂商，属于用户，属于所有可能被波及的人。可实际上，在利益面前，漏洞就像掉在马路上的钱包——有人捡起来交给警察，有人揣进自己兜里，还有人专门蹲在银行门口等着别人掉钱包。

最让人后背发凉的是，有些漏洞根本不是“被发现”的，而是“被制造”的。前阵子某打车软件被曝出，内部员工把用户行程数据导出卖给竞争对手，借口就是“测试需要”。测试个鬼啊，测试需要调用户实时位置？那哥们儿后来被带走的时候，还在朋友圈发了句“人在江湖，身不由己”。

说到底，漏洞牟利拼的从来不是技术高低，而是底线厚薄。技术这东西，用好了是盾，用歪了就是刀。那些靠漏洞吃饭的人，迟早会碰上啃不动的硬骨头——不是每个系统都像他们想的那么脆弱，也不是每个受害者都像他们以为的那么沉默。

最新评论