安全漏洞公共资源库

国内的安全漏洞信息库主要包括：

CNNVD：中国国家漏洞库，由中国信息安全测评中心维护（www.cnnvd.org.cn）。

CNVD：中国国家信息安全漏洞共享平台，由国家计算机网络应急技术处理协调中心（CNCERT/CC）维护（www.cnvd.org.cn）。

乌云安全漏洞报告平台：民间组织（http://www.wooyun.org/）。

SCAP中文社区：由本书作者王珩、诸葛建伟等人发起的民间组织项目（http://www.scap.org.cn/）。

国外的安全漏洞信息库主要包括：

CVE：（Common Vulnerability and Exposures，通用漏洞与披露）已成为安全漏洞命名索引的业界事实标准，由美国国土安全部资助的MITRE公司负责维护，CVE漏洞库为每个确认的公开披露安全漏洞提供了索引CVE编号，以及一段简单的漏洞信息描述，而这个CVE编号就作为安全业界标识该漏洞的标准索引号。

NVD：（National Vulnerability Database，国家漏洞数据库）是美国政府官方根据NIST的SCAP标准协议所描述的安全漏洞管理信息库，具体由美国国土安全部下属的NCSD国家网际安全部门US-CERT组负责维护。截至2013年4月，NVD库目前包括了近6万条CVE安全漏洞详细信息。

SecurityFocus：起源于业内著名的Bugtraq邮件列表。2002年SecurityFocus网站被Symantec公司所收购，从Bugtraq邮件列表中也演化出SecurityFocus安全漏洞信息库，为业界的安全研究人员提供所有平台和服务上最新的安全漏洞信息。

OSVDB：（Open Source Vulnerability DataBase，开源漏洞数据库）由HD Moore参与发起，由安全社区创建的一个独立的、开源的安全漏洞信息库，为整个安全社区提供关于安全漏洞的准确、详细、及时、公正的技术信息，来促使软件厂商与安全研究人员更友好、更开放地合作，消除开发和维护私有安全漏洞信息库所带来的冗余工作量和花费。截至2013年4月，OSVDB库能够覆盖7万多个产品，已包含91?000多个安全漏洞的详细信息。

针对这些已知安全漏洞的公开渗透代码资源也会在安全社区中流传与共享，目前安全社区比较知名的渗透攻击代码共享站点包括Metasploit、Exploit-db、PacketStorm、SecurityFocus等，CORE Security、VUPEN等则提供商业的渗透代码订阅服务，具体内容如表1-1所示。而SCAP中文社区（www.scap.org.cn）提供了从CVE安全漏洞搜索渗透攻击代码的能力，并将进一步扩展汇聚渗透攻击代码的范围。

表1-1　安全社区比较知名的渗透攻击代码共享站点

（续）