2023年冬天，提供某家做跨境电商的网络小公司发现后台订单数据被人打包挂在了暗网上。价格不高，安全500美元。漏洞他们查了三个月，提供最后发现漏洞出在一台没人管的网络测试服务器上——运维半年前离职，交接文档里压根没提这台机器还连着生产数据库。安全攻击者没用什么高级手段，漏洞就是提供扫到了默认口令，然后一路横着走。网络

这事听起来像段子，安全但它是漏洞真实发生的。我后来跟这家公司的提供技术负责人聊过，他说最讽刺的网络是，公司每年花十几万买WAF和威胁情报，安全结果栽在一个弱口令上。安全圈有句话：你防得住APT，防不住运维忘关端口。

提供网络安全漏洞，本质上是在做一件反直觉的事。正常商业逻辑是发现问题、修好、别声张。但漏洞披露不是。你手里攥着一个能炸掉别人系统的雷，怎么处理，直接决定你是白帽、灰帽还是蹲监狱的黑帽。

我见过两种极端。一种是发现漏洞后立刻发微博，@一圈大V，恨不得全网都知道某大厂又出事了。另一种是悄悄联系厂商，等修复了再公开细节。前者容易踩法律红线——《网络安全法》第二十七条写得清楚，不得提供专门用于侵入、干扰他人网络的程序工具。你公开漏洞细节，哪怕动机是好的，也可能被认定为“提供侵入工具”。后者呢，厂商可能拖你半年，最后给你发个致谢邮件了事。

真正的行家走中间路线。先通过SRC（安全应急响应中心）或厂商安全邮箱提交，给一个合理的修复窗口，通常90天。到期不修，再考虑公开。公开也不是甩个PoC代码就完事，而是描述漏洞原理、影响范围、临时缓解措施。这样既给厂商压力，又不至于让脚本小子直接拿去扫全网。

有个细节很多人忽略：漏洞报告本身也是敏感信息。去年某安全研究员在GitHub上贴了一个漏洞的复现步骤，结果三天内就被集成进了某僵尸网络。他本意是技术分享，实际效果等于给黑产发了邀请函。

我自己的习惯是，提交漏洞时把复现步骤写清楚，但PoC代码只给厂商，不公开。如果厂商态度恶劣，比如威胁起诉或者装死，我会在社交平台发个模糊描述，不点名，只提“某CMS存在前台RCE”。懂的人自然懂，不懂的也搜不到。这不是怂，是算过账——你公开了，厂商损失的是股价，你损失的是自由。

还有一类漏洞提供者，专门做漏洞赏金。HackerOne上有个大神，一年靠提交漏洞赚了50万美元。他的方法很笨：每天花四小时读代码，专挑那些冷门但用户量大的开源项目。他说大厂的安全团队太强了，小项目反而容易出奇迹。上个月他刚在一个用了十年的日志库里发现一个反序列化漏洞，影响超过两万台服务器。

这事给我最大的触动是：漏洞不会消失，只会转移。你今天修了Web层，明天可能栽在API网关；你加固了服务器，可能漏了CI/CD流水线。提供漏洞的人，不管是白帽还是黑帽，本质上都在做同一件事——找系统的裂缝。区别只在于，你把裂缝告诉谁，以及怎么告诉。

最后说个真事。某次我提交了一个中危漏洞，厂商安全对接人回了一封邮件，开头是“感谢您的贡献”，结尾是“经评估，该漏洞不符合我们的奖励标准”。中间隔了整整六周。我回了句“理解”，然后把漏洞详情发在了我的技术博客上，打了码，隐去了厂商名字。三天后，他们主动联系我，说愿意重新评估。我没改博客，但把奖励捐给了一个开源安全工具项目。

这行干久了你会发现，技术问题最后都变成人的问题。漏洞是死的，怎么提供漏洞，是活的。

(责任编辑：知识)