乌云的“暧昧地带”

2014年3月23日晚6点，乌云漏洞平台（乌云网）曝出携程安全支付服务器接口存在调试功能，可将用户的支付记录保存下来，包括持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin等信息。 由于涉及个人财务信息泄露，引发了社会各界的强烈关注，人民日报、央视网、新浪科技、财经网等媒体争相报道，众说纷纭。

携程日志中存储用户敏感信息无疑是错误和愚蠢的，在舆论将携程推向风头浪尖之时，笔者对乌云网产生了强烈的好奇。翻看乌云网的漏洞爆料历史记录，令人震惊：

<sup>2013年10月10日，如家等酒店开房信息泄露；

11月20日，腾讯7000万QQ群用户数据被指泄露；

11月26日，360出现任意用户修改密码漏洞；

2014年2月17日支付宝/余额宝任意登录漏洞，网民账号面临风险；

2014年2月26日，微信敏感信息泄露漏洞，造成海量用户视频泄露，影响堪比XX门……</sup>
一系列泄密事件让乌云网，让这个原本默默无闻的网站声名鹊起。人们在质疑相关企业不负责任表现的同时，也对乌云网充满疑问：这究竟是怎样的一个平台，为何能连环曝出各大公司的漏洞？乌云网背后，究竟有多少秘密？

乌云背后的“月之眼”

乌云网（WooYun）成立于2010年5月，主要创始人为百度前安全专家方小顿——这位1987年出生的国内知名黑客“剑心”，2010年2月和李彦宏一道参加湖南卫视《天天向上》节目，因为女友高歌一首而为人所知。此后，方小顿联合几位安全界人士成立了乌云网，其目标是成为“自由平等的”的漏洞报告平台。

在百度百科中，乌云是这样描述自己的：一个位于厂商和安全研究者之间的安全问题反馈平台，在对安全问题进行反馈处理跟进的同时，为互联网安全研究者提供一个公益、学习、交流和研究的平台。

尽管乌云将自己的形象打造为公益的第三方组织，以获取白帽子与社会的信任。但经过查证，乌云网并非一个公立第三方机构，而是纯粹的民营公司，其收入来源于其漏洞披露规则。

对于一般漏洞而言，乌云网规则如下：

<sup>1、 白帽子提交漏洞并通过审核后，乌云网会公布漏洞概要，内容包括漏洞标题、涉及厂商、漏洞类型与简要描述；

2、厂商有5天的确认周期（5天内未确认视为忽略，但不公开，直接进入3）；

3、确认3天后对安全合作伙伴公开；

4、10天后向核心及相关领域专家公开；

5、20天后向普通白帽子公开；

6、40天后向实习白帽子公开；

7、90天后向公众公开。</sup>
值得一提的是，乌云网所公布的漏洞标题完全来源于白帽子提交，并没有任何审核与修改，“可导致千余服务器沦陷”“近千万的用户数据存在泄露风险”等夸张标题比比皆是，随意一个漏洞经媒体传播皆可以引起大众恐慌。