零日漏洞市场现状（2024）

一、引言

本研究报告基于业内资深专家的深度分享，详细探讨了软件漏洞销售这一专业领域的现状、挑战与发展趋势。随着网络安全威胁日益严峻，漏洞研究与交易已发展成为一个专业化的市场，涉及多方参与者、复杂的技术要求和严格的操作规范。

二、市场概况

漏洞销售市场最早可追溯至iDefense和Zero Day Initiative (ZDI)这样的先驱项目。这些早期项目建立了漏洞披露的基本框架，为后续市场的规范化发展奠定了基础。值得注意的是，2003年微软发布的"可信计算备忘录"和随后推出的安全开发生命周期(SDL)，将漏洞披露正式纳入软件开发流程，标志着漏洞市场进入新的发展阶段。

2.2 市场规模与价值

5.1 技术发展

1. 防护机制不断进化

   - 虚拟化技术广泛应用

   - 人工智能辅助防护

   - 新型沙箱技术

2. 漏洞研究难度提升

   - 需要更专业的团队

   - 完整利用链价值更高

   - 单一技术难以奏效

5.2 市场变革

1. 价格持续上涨

   - 技术门槛提高

   - 市场需求增加

   - 合规要求严格

2. 团队协作增多

   - 专业分工细化

   - 技术互补

   - 风险共担

以“卖家”的个人经验为例。“卖家”一直在出售漏洞，但“卖家”选择不与不道德的买家合作。虽然收入会少一些，但这是“卖家”的原则。

在2014年之前，比如向iDefense或ZDI出售一个UAF(Use After Free)漏洞，大约能获得1-3万美元。那时候通常不需要完整的漏洞链，一个或两个漏洞就够了，比如一个远程代码执行漏洞，再加上一个信息泄露漏洞来绕过ASLR。

记得Java运行时环境6(JRE6)的MSVCR71.dll让“卖家”赚了不少钱，因为这个模块没有启用动态重定位，而且包含了所有绕过数据执行保护(DEP)所需的gadget。所以如果你发现了一个浏览器远程代码执行漏洞，仅此一个就够了，因为当时Internet Explorer和Edge还没有沙箱保护。

但现在情况变得困难得多。在不太道德的市场上，价格可能是之前的10-20倍。比如CrowdFence公开宣称最高可出价40万美元。

再比如iOS的零点击漏洞。苹果开发了BlastDoor来过滤进入的短信，确保不会执行恶意代码。现在要越狱或root手机变得更难了，至少需要4-6个零日漏洞串联在一起。而且现在很少有单独的研究者能完成这样的工作。2014年时，一个人还可能找到足够的漏洞来实现代码执行。但现在，特别是在启用了HVCI等先进缓解措施的内核中，获得执行权限变得极其困难。你可能只能获得读写权限，但即使这样也很困难，因为还要面对代码签名等其他保护机制。

这就是为什么价格涨得这么高。记得2014年时，Zerodium对iOS和Android的完整零点击漏洞链最高出价200-250万美元。现在通过Voln Point和CrowdFence可以拿到900万美元。更极端的例子是Operation Zero，他们在Twitter页面上直接声明是唯一的俄罗斯支持的漏洞收购项目，明确表示"对非北约国家友好"。他们开出2000万美元的价格，这笔钱足够退休了。但要考虑你在向谁出售，这实际上是在叛国，他们会用这些漏洞攻击你的国家。这个选择权在你。