2023年11月，漏洞下载一个叫“Treck”的漏洞下载漏洞贩子在暗网论坛挂出一份Windows内核提权漏洞的拍卖链接，起拍价8万美元。漏洞下载三天后，漏洞下载这条帖子消失了。漏洞下载买家是漏洞下载谁，没人知道。漏洞下载但可以确定的漏洞下载是，那个漏洞至今没有被微软修补——至少公开渠道查不到对应的漏洞下载CVE编号。

这就是漏洞下载漏洞下载的灰色地带。它不发生在你熟悉的漏洞下载浏览器下载框里，而是漏洞下载藏在加密聊天群、私有网盘、漏洞下载甚至区块链交易记录中。漏洞下载一个0day漏洞从被发现到被利用，漏洞下载中间要经过好几手，每一手都有人靠信息差赚钱。

我去年接触过一个做安全研究的朋友，他习惯把找到的漏洞先报给厂商，拿一笔漏洞赏金。但他说，有些同行不这么干。“厂商给的钱太少，Pwn2Own冠军奖金也就几万美元，可同一个漏洞卖给漏洞经纪公司，报价能翻十倍。”他给我看了一份某经纪公司的内部价目表：Chrome远程代码执行漏洞，150万美元起步；iOS完整链利用，250万美元。表格最底下有一行小字：“批量购买可议价，支持加密货币结算。”

漏洞下载的“下载”二字，其实不太准确。更接近事实的描述是“漏洞交付”。买家付钱后，收到的可能是一个加密压缩包，里面装着PoC代码、触发条件说明、以及绕过ASLR和DEP的具体步骤。有些卖家还会附赠一次远程调试支持，确保买家能复现。整个过程像一场地下军火交易，只不过武器是一段能击穿系统防线的代码。

普通人觉得这事离自己很远。但2017年“永恒之蓝”漏洞泄露后，勒索病毒WannaCry横扫全球，医院、学校、企业的电脑集体蓝屏。那个漏洞原本是美国国安局囤积的，后来被黑客组织“影子经纪人”偷出来公开下载。一个漏洞的失控，就能让半个互联网停摆。

更麻烦的是，漏洞下载的渠道正在变得去中心化。以前还有像Exploit.in这样的论坛作为集散地，现在买卖双方直接通过Telegram私聊，用门罗币付款，把漏洞文件切成碎片藏在图片元数据里传输。安全公司Recorded Future去年发过一份报告，说他们追踪到至少三个专门交易移动端漏洞的私密群组，入群需要现有成员推荐，还要缴纳价值5000美元的加密货币作为保证金。

我试过在GitHub上搜“CVE-2024”加“exploit”关键词，跳出来的大部分是安全研究人员的分析文章，但偶尔也能撞见一两个仓库，里面放着未修补漏洞的利用脚本，README只写了一句“for educational purposes”。这些仓库通常活不过48小时，就会被DMCA投诉下架。可下载的人已经下载了。

漏洞下载这件事，说到底是一场信息不对称的套利。发现漏洞的人掌握着别人不知道的崩溃路径，需要漏洞的人愿意为这种“不知道”支付高价。中间商赚的是撮合费，而厂商永远在补丁发布的路上疲于奔命。微软每月第二个周二发补丁，可漏洞交易市场全年无休。

有个细节挺有意思。某漏洞经纪公司的网站上写着“我们遵守国际武器贸易条例”，但他们的客户名单里包括一些被制裁国家的IP地址。规则是写给外人看的，下载漏洞的人只关心能不能用。