2015年夏天，知名安全研究员Andres Riancho想查一个CVE编号的漏洞细节。他打开NVD，知名页面加载了，漏洞但除了编号和一句干巴巴的知名描述，什么利用信息都没有。漏洞他转头去翻邮件列表，知名翻了四十分钟，漏洞才在某个犄角旮旯的知名回复里找到一段PoC代码。这件事本身不算大，漏洞但它暴露了一个事实：漏洞库很多，知名能用的漏洞没几个。

NVD是知名绕不开的。美国国家标准与技术研究院维护，漏洞几乎所有CVE编号最终都会汇入这里。知名它的优势是权威，覆盖面广，评分体系CVSS也算行业通用语言。但用过的人都知道，NVD的更新速度是个老问题。一个漏洞从公开到被NVD收录、评分、补全参考链接，有时候要等几周。碰上紧急漏洞，这几周足够攻击者写完利用工具了。更别提描述字段经常只有一句话，比如“SQL injection in XYZ product”，哪个参数、什么条件触发、有没有前置认证要求，全靠你自己去猜。

所以真正干活的人不会只看NVD。Exploit-DB是另一个高频站点。Offensive Security维护，主打的就是能跑的PoC。它的搜索比NVD好用，按平台、类型、作者筛，结果直接给你代码。很多老漏洞的利用脚本在这里躺着，虽然年久失修，但改改还能用。不过Exploit-DB的收录标准偏实战，不是所有CVE都有条目。有些漏洞影响面很大，但利用条件太苛刻，没人写PoC，它就查不到。

国内的话，CNNVD和CNVD是两个官方库。CNNVD偏信息汇总，跟NVD类似，更新速度也不快。CNVD更侧重事件通报和行业预警，对具体漏洞的技术细节披露有限。我个人的感受是，这两个库在合规场景下有用——比如等保测评要查漏洞编号——但真要做渗透测试或者应急响应，还是得靠国外那几个源。

说一个具体案例。2021年Log4Shell爆发那天，NVD的条目在漏洞公开后大约12小时才出现，描述只有一句话，CVSS评分还是3.1的草稿状态。而GitHub上已经有十几个PoC仓库了，Twitter上有人在贴利用链。真正让防御方快速判断影响面的，是那些临时整理的Google Sheet和博客文章，不是任何官方漏洞库。这件事说明一个问题：漏洞库的核心价值不在“收录”，在“时效”和“可操作性”。

还有个容易被忽略的源：厂商自己的安全公告。微软的MSRC、Oracle的CPU、Cisco的安全通告，这些往往比第三方漏洞库更早、更准。缺点是分散，你得一个个订阅。有些厂商的公告写得极其模糊，比如“修复了一个可能导致远程代码执行的问题”，连受影响版本都列得不清不楚。这种时候只能去翻补丁对比，或者等社区分析。

漏洞库的本质是信息中介。它不生产漏洞，它只是漏洞的搬运工。但搬运的质量差别很大。好的漏洞库应该做到三点：收录快、描述准、利用信息全。目前没有哪个库能同时满足。NVD权威但慢，Exploit-DB快但覆盖不全，厂商公告准但分散。实际工作中，我习惯同时开四五个标签页，交叉比对。这不是效率低，这是现实。

最后提一个趋势。近几年GitHub成了事实上的漏洞库。很多0day或者Nday的PoC直接发在仓库里，没有CVE编号，没有NVD条目，但代码能跑。搜索方式也简单，按关键词或者CVE编号搜仓库就行。这种方式没有审核，没有评分，但胜在直接。安全社区正在用脚投票，把知识沉淀从中心化数据库往代码托管平台迁移。NVD们如果不解决时效和粒度的问题，被绕过只是时间问题。