以色列漏洞经纪人：谁在购买0day漏洞？

近日，在北京举行的第七届互联网安全大会（ISC 2019）上，以色列Q-recon公司的著名漏洞经纪人莫尔·施瓦茨发表了一场引人入胜的演讲，他不仅分享了自己在0day漏洞交易中的实战经验与心得，更揭示了这一领域正从隐私经济向开放经济转型的趋势。

漏洞交易市场的现状与变革

1. 漏洞交易愈发正规化：据莫尔·施瓦茨介绍，近年来，通过银行系统完成的合法漏洞交易日益增多，加之相关执照发放，业界普遍认为漏洞交易不再是神秘的地下活动，而是一种日趋透明、开放的市场行为。未来，预计漏洞交易的频率和规模将进一步扩大。

2. 现状与供需分析：HackerOne发布的2018年报告显示，全球有超过16.6万名注册黑客提交了7.2万个漏洞，其中约70%属于容易发现的常规漏洞，厂商对此类漏洞提供的奖励有限。至2019年，注册黑客人数增至30万，报告漏洞数达10万个，但仍有73%属于较易发现的漏洞类型。

揭秘0day漏洞买家与卖家

1. 谁是0day漏洞的主要买家？传统观点认为，白帽黑客、灰帽黑客以及黑帽黑客构成了主要购买群体。白帽通常服务于各类公司、平台或程序；灰帽和黑帽则涉及机器人、攻击型安全公司及政府机构等多元背景。

2. 谁会出售0day漏洞？除了高端研究组织如HackerOne和Bugcrowd外，还包括防御性安全公司的顶级研究人员，例如360的郑文彬，还有那些隐身于攻击型行业的小型精英团队，他们在全球范围内不过寥寥四百余人，专为政府和公司提供高级服务。

如何让0day漏洞卖出高价？

1. 供求法则：决定漏洞价格的首要因素就是供求关系，如果市场上已有解决方案的漏洞，其价值几乎为零。

2. 泛用性和影响范围：若你发现了一个广泛存在于安卓系统中的漏洞，影响范围越大，其潜在价值就越高。

3. 独特性与市场需求：漏洞的独特性同样关键，尽管过去六个月之前，高价往往针对专属漏洞，但如今市场需求旺盛超过了供应量，非独家的普通漏洞也开始受到追捧，价格水涨船高。

此外，莫尔·施瓦茨还提醒，在签订漏洞交易合同时务必谨慎细致，明确漏洞的具体配置、规格，并通过预付款等方式合理分摊风险，确保自身利益最大化。