漏洞查找网站

上周三凌晨两点，漏洞我盯着一个CVE编号发呆——CVE-2024-3094，查找xz-utils后门。网站一个被广泛使用的漏洞压缩库，差点让全球SSH认证形同虚设。查找发现它的网站不是安全公司，是漏洞一个微软的工程师，他在调试SSH性能时觉得登录慢了半拍。查找就这么个细节，网站撕开了一条供应链攻击的漏洞暗线。

漏洞查找网站就是查找干这个的。但大多数人只知道去NVD搜CVE编号，网站这跟只拿螺丝刀修车差不多。漏洞

NVD（美国国家漏洞数据库）确实是查找最大的公开库，每个CVE条目包含描述、网站CVSS评分、受影响产品列表。问题是它的更新速度。2024年2月，NVD积压了超过10万个未分析漏洞，很多CVE条目只有一句话描述，连影响版本都没填。安全研究员Brian Krebs直接发文说NVD正在“功能性崩溃”。这不是小事——企业漏洞管理工具、SIEM规则、合规扫描器，全都依赖NVD的数据。

替代品不少。MITRE的CVE列表更新更快，但信息更原始，没有CVSS评分。GitHub Security Advisory偏向开源生态，npm、pip、Go模块的漏洞基本能第一时间看到。我查Python库漏洞时习惯先翻GitHub Advisory，再去OSV（Open Source Vulnerabilities）交叉验证。OSV是Google推的，API设计干净，能直接查某个commit是否修复了特定漏洞。

国内的话，CNNVD（国家信息安全漏洞库）和CNVD（国家信息安全漏洞共享平台）是两个主要来源。CNNVD的编号格式是CNNVD-202403-xxxx，CNVD则更多收录国内厂商的漏洞。实际用起来，CNNVD的搜索功能比NVD还难用，但有些国产软件的漏洞只有这里有记录。比如某国产OA系统的任意文件上传，NVD上查不到，CNNVD有收录，虽然描述写得含糊。

Exploit-DB是另一个维度。它不负责披露漏洞，只收录利用代码。一个漏洞有没有公开exp，直接决定修复优先级。CVSS 9.8但没exp，和CVSS 7.5有稳定exp，后者往往更急。我见过太多团队只看CVSS评分，结果被一个“低分但有现成利用工具”的漏洞打穿。

还有几个偏门但好用的。Snyk的漏洞库对JavaScript和Java生态覆盖极好，VulDB的条目写得比NVD详细，CVE Details能按厂商、产品、年份做交叉筛选。日本JPCERT的JVN iPedia对亚洲地区的软件漏洞收录更全，比如某些日本办公软件。

真正的问题是信息过载。一个Log4j2漏洞，NVD、CNNVD、GitHub Advisory、Snyk、VulDB全有记录，CVSS评分还不一样。到底信哪个？我的做法是：先看GitHub Advisory确认受影响版本范围，再看OSV确认修复commit，最后去Exploit-DB查有没有公开利用。NVD和CNNVD只用来补全CVE编号和官方描述。

漏洞查找网站不是查得越多越好。关键是知道哪个源在哪个场景下更可靠。查开源库，GitHub Advisory加OSV。查商业软件，NVD加厂商公告。查国产系统，CNNVD加CNVD。查有没有人在利用，Exploit-DB加Twitter安全圈的讨论。

凌晨那个xz后门，NVD的条目到现在还标着“Awaiting Analysis”。但GitHub Advisory已经写清楚了：5.6.0和5.6.1版本，特定条件下触发。OSV给出了修复commit哈希。Exploit-DB没有exp，因为攻击向量太复杂。这些信息拼在一起，才够判断要不要连夜升级。

漏洞查找的本质不是“找到”，是“判断”。网站只是工具，判断力得自己长。