这个问题是关于 NSS 在其 ExpoitHub 漏洞利用市场（站点链接）中采用的经济模型，以及它是否符合公司的白帽声明。该公司本月通过提供数百美元的赏金来武器化十几个已知漏洞（公司报价）而成为新闻。

这种商业模式似乎是期待已久的圣杯解决方案的变体，即为好人创建一个市场，这将是自我延续的，对所有对增强安全性感兴趣的人来说都是双赢的。该公司引用 HD Moore（上面的第一个链接）和其他人来支持这一概念。他的引述表明这种武器化活动是良性的，因为它只关注非零日漏洞。在媒体中，eEye 的首席技术官 Marc Maiffret（链接）提供了一个更负面的评论，同样的思路是“如果您是一家被已知漏洞利用的公司，那么您的安全性就没有发挥作用。”

NSS 指出，在 15,000 到 17,000 个已知的关键漏洞中，只有 1,000 个在 Metasploit 中有可用的漏洞利用，这一差距为漏洞利用编写者提供了支持渗透测试社区的绝佳机会。该网站本身向漏洞利用作者提供 30% 的收入，并以每个高达 1,500 美元的价格出售未经验证的漏洞利用。

谁会为一个特定的漏洞支付 1,500 美元？识别漏洞的简单安全审计与第三方渗透测试人员通过购买的攻击主动展示弱点的目的不一样吗？如果是这种情况，那么是时候建议购买此类漏洞的人可能不戴这样的白帽子，还是我错过了一些重要的东西？