第二种核武器——你所不知道的漏洞战争

　　你可能会问：“好不容易找到个漏洞，又不卖钱？那黑客大牛研究漏洞的意义何在呢？”

　　这句话特别像一个路人问金庸小说里的大侠：你这么一身武艺，不去打架，那有什么意义呢？

　　大侠多半会说：“习武之人，绝不是为了欺凌弱小，而是为了维护人间正道。”

　　你细品品。

　　具体来说，黑客们维护“人间正道”的方法分三步走：

　　第一步：把这些漏洞告诉厂商——Windows的漏洞就会告诉微软，Android的漏洞就会告诉谷歌，以此类推。

　　第二步：厂商当然会在第一时间修复漏洞，然后给我们这样的草民发送“升级补丁”。

　　第三步：草民装完补丁，就再也没人能用这个漏洞伤害他们了。这个漏洞也从0-Day变成了1-Day。（假设你没有及时升级，还用旧版本软件，那么这个1-Day漏洞依然可以干掉你。）

　　如果你仔细看版本升级的说明，有时会发现“安全性更新”这样的字样。

　　每修复一个漏洞，厂商都会对提交漏洞的研究院公开致谢。但“谢谢”两个字还不够。。。

　　厂商们*现在*为了表彰黑客的贡献，也会相应地给漏洞发现者一些奖金。不过毕竟是奖金，比Zerodium买漏洞的钱低多了。各家厂商不等，大概在5000-20万美元一个0-Day漏洞。

　　注意，我刚才特意标红了“现在”两个字。

　　漏洞大神们可不是从一开始就被这么尊敬地“供奉”的。

　　以谷歌、微软、苹果，三大巨头为例：

　　21世纪初，互联网刚刚兴起，大家都觉得黑客全是坏人——没事儿研究我家系统的漏洞干啥呀？肯定非奸即盗。他们金庸小说看得少，不知道这世界上有侠客练武真的是为了除暴安良。

　　2010年，谷歌最早扭转思路，推出“漏洞赏金计划”，世人第一次见到了大公司为漏洞付费的善良操作。十年来，谷歌已经为漏洞奖励出去了大概2000万美元，纯爷们。

　　微软就抠门多了，他们的系统人人都用，相当普及，却一直不愿意为漏洞付钱。

　　不过2013年的时候，他们开启了一个变通计划：不为单独的漏洞付费，但是如果你能找到我整个安全机制存在问题，我还是会给赏金的。中国黑客，大名鼎鼎的TK教主就是在2014年拿到了这份赏金，10万美金。

　　在随后的七年时间里，微软一点点扩大奖励范围，直到2019年，微软才真正针对旗下包括Windows、Office等所有产品开启了漏洞奖励计划，奖金也提高到了史无前例的最高25万美元。

　　至于苹果，压根就不想提“漏洞”这两个字。什么漏洞？我们的系统很和谐，代码很幸福。。。

　　这倒也能理解。因为苹果的调性一直是“完美”，承认自己的系统里可能有漏洞，那人设就崩塌了。但实际上，只要是系统就会有漏洞，掩盖是掩盖不住的。

　　2016年的时候，苹果偷偷地开启了一个漏洞奖励计划，邀请全世界20支研究苹果系统的顶尖团队到了美国总部，然后告诉他们：“有漏洞悄悄给我们，打枪的不要，我们给赏金”。

　　这些团队里就包括中国“360安全团队”、“腾讯科恩实验室”和老牌越狱大神“盘古团队”。

　　由于签署了保密计划，他们究竟给了苹果多少漏洞，不得而知。

　　然而，随着苹果用户越来越多，专门攻击苹果系统的坏人也越来越多。2019年，苹果也绷不住了，公开面向全世界开启漏洞赏金计划，英雄不问出处，谁都可以拿漏洞来领赏，最厉害的ZeroClick漏洞给100w美元。

　　下图就是2019年8月公布赏金的PPT。