漏洞poc

一个漏洞值多少钱？漏洞这问题扔给不同的人，答案能差出几个数量级。漏洞厂商说“感谢提交，漏洞记你一个CVE”，漏洞黑市说“看利用条件，漏洞几万到几十万美金不等”。漏洞而写POC的漏洞那个人，可能只是漏洞蹲在出租屋里，对着屏幕啃了三天泡面。漏洞

POC这东西，漏洞全称Proof of Concept，漏洞翻译过来叫“概念验证”。漏洞说白了就是漏洞一段代码或一组操作步骤，能让你亲眼看到漏洞真实存在——不是漏洞猜的，不是漏洞扫出来的误报，是实实在在打进去、弹回来一个shell，或者让服务器乖乖吐出数据库里的用户密码。

我最早接触POC是2017年。当时一个朋友扔给我个压缩包，说“你看看这个”。解压出来一个Python脚本，不到两百行，针对某国产OA系统的未授权访问。跑起来之后，浏览器里直接跳出了管理员后台，连登录框都没见着。那会儿我才意识到，漏洞公告里轻描淡写的“信息泄露”，落到POC上就是这么直白的东西。

写POC的人分几类。安全研究员为了发论文、刷CVE，POC写得规规矩矩，带注释、带说明、带影响范围。渗透测试工程师的POC就糙得多，能跑就行，路径写死，IP硬编码，报错信息都不处理。还有一类是漏洞贩子，POC对他们来说是商品，得保证稳定、通用、免杀，甚至带个图形界面——买家可不会用命令行。

真正有意思的是POC的“半衰期”。一个高危漏洞刚公开那几天，POC在圈子里传得飞快，微信群、Telegram频道、GitHub私有仓库，到处都是。有人拿它打站，有人拿它写检测规则，有人拿它做流量分析。但过了一两周，厂商补丁铺开，WAF规则更新，这个POC就慢慢失效了。再后来，它变成历史资料，躺在某个漏洞库的角落里，只有写报告的时候才会被翻出来引用一下。

不过有些POC活得特别久。比如那些依赖特定版本、特定配置的漏洞，只要目标环境不变，POC就能一直用。我见过一个2014年的Struts2 POC，到2020年还能在公网上打到不少机器。原因很简单：没人升级。那些老系统跑在某个角落的服务器上，管理员早就不管了，防火墙后面就是裸奔。

写POC最怕什么？最怕环境不对。你本地复现成功，兴冲冲跑到目标上一试，报错。回去调，改payload，换编码，试了十几次，还是不行。最后发现目标装了某个安全软件，把关键函数hook了。这种时候特别泄气，感觉像拿钥匙开门，锁孔对上了，但门后面还顶了张桌子。

还有个事挺讽刺的。有些厂商的漏洞奖励计划，要求提交POC才给钱。但研究员把POC交上去之后，厂商转头就把它塞进自己的检测产品里，拿去卖钱。研究员拿到几百美金，厂商赚了几百万。所以现在很多人学乖了，POC只给录屏，不给源码。你要验证？看视频。

POC本身没有善恶。它就是个工具，跟一把螺丝刀没区别。拧螺丝还是撬锁，看拿在谁手里。但写POC的人心里都清楚，自己敲下的每一行代码，都可能变成别人手里的武器。这种认知让人既兴奋又不安——兴奋是因为你掌握了某种力量，不安是因为你知道这力量会被滥用。

前几天翻到一个老POC，注释里写着“仅供学习交流，请勿用于非法用途”。我笑了笑，关掉文件。这句话大概每个写POC的人都写过，也大概每个用POC的人都忽略过。