漏洞合作

2016年秋天，漏洞合作旧金山一家做企业VPN的漏洞合作初创公司发现自家产品被三个不同国家的IP地址反复探测。安全团队查了两周，漏洞合作结论是漏洞合作：对方在利用一个OpenSSL的已知漏洞，但攻击方式很怪——每次只读4KB数据，漏洞合作然后停手，漏洞合作隔几小时再来。漏洞合作正常黑客不会这么干。漏洞合作后来他们通过蜜罐反向追踪，漏洞合作发现攻击者其实是漏洞合作在帮另一家公司做渗透测试，而那家公司的漏洞合作安全负责人，恰好是漏洞合作这家VPN初创公司前员工。

漏洞从来不只是漏洞合作技术问题。它更像一张入场券，漏洞合作谁先拿到，漏洞合作谁就能在别人的系统里坐一会儿。但有意思的是，真正靠漏洞吃饭的人，往往不急着把门踹开。他们喜欢留条缝，让风自己吹进来。

我认识一个做漏洞赏金的小伙子，叫阿凯。他不爱用自动化扫描工具，嫌吵。他的方法是：先看目标公司最近招什么人。如果一家电商突然招了三个支付风控工程师，说明他们刚上线了新支付通道，大概率接口鉴权没做全。他就去翻那家公司的GitHub公开仓库，找三个月内提交的代码注释，里面常有人写“TODO: 加签名校验”。阿凯说，这比扫端口准多了，因为漏洞的本质是人的疏忽，而疏忽有惯性。

去年有个案例挺典型。某头部快递公司的查询接口存在越权漏洞，任何人改一下订单号就能看到别人的收件地址和电话。发现者没把漏洞卖给黑产，也没直接提交给厂商。他先花了一周时间，把漏洞影响范围摸清楚——大约涉及2000万条订单。然后他做了件奇怪的事：给快递公司的安全应急响应中心发了封邮件，标题是“你们隔壁那家竞对的接口也有同样问题”。

这招很灵。快递公司当天就修了，还给他发了奖金。为什么？因为竞争压力比漏洞本身更让企业紧张。你告诉一家公司“你有漏洞”，他们可能排期到三个月后修。你告诉他们“竞对也有，但人家先修了”，他们连夜就改。

漏洞合作这件事，早就不限于“白帽提交、厂商修补”的单线流程了。现在更像一个多方博弈的牌桌。有人手里攥着0day，不急着出，先看厂商的股价和舆情。有人专门做“漏洞中介”，帮研究者谈价，抽成20%，比很多SaaS公司毛利都高。还有一类人，专门盯着开源项目的依赖库，发现漏洞后不声张，先给下游所有使用该库的公司发匿名提醒，附上修复建议，然后坐等其中几家主动联系他付费咨询。

这听起来有点灰色，但你不能否认它的效率。传统漏洞披露流程平均要97天才能修复，而这种“私下合作”模式，有时候72小时就搞定了。代价是透明度没了。你不知道自己用的软件到底有没有被提前修补过，也不知道那个帮你修漏洞的人，是不是同时也在卖你的数据。

我自己的判断是：漏洞合作正在从“技术协作”变成“风险交易”。技术只是筹码，真正被交换的是时间差和信息差。谁能在漏洞公开前的那几个小时里，把该打的补丁打了，该转移的数据转移了，谁就赢了。至于那个漏洞本身是CVSS 9.8还是7.5，反而不重要了。

阿凯上个月跟我说，他现在不接企业客户的单子了。原因是某次他帮一家银行修完漏洞后，对方安全总监私下问他：“你能不能也帮我们看看，隔壁那家银行有没有类似问题？”阿凯说，那一刻他觉得，自己不像安全研究员，更像商业间谍。他拒绝了，然后转去做开源项目的自动化漏洞修复工具。用他的话说：“至少代码不会问我，能不能顺便搞一下竞争对手。”

漏洞不会消失，合作也不会。但合作的方式，正在悄悄改变谁有资格坐在牌桌上。