内核漏洞挖掘的成本结构：一次大规模审计实践的成本拆解与启示

一、引子：漏洞挖掘进入“工业化”阶段后的新问题

过去很长一段时间，内核漏洞挖掘被视为高度依赖专家经验的手工劳动：安全研究员阅读代码、构造输入、观察崩溃、编写复现。随着静态分析工具与大模型辅助分析的成熟，“把漏洞找出来”这一环节的门槛正在快速下降。一次针对约 280 万行内核代码（约占内核总体量的 7%）的审计实践显示，候选漏洞的产出数量可以达到两千余个，而模型分析出现错误的比例仅为 3.1% 左右。

这带来一个容易被忽视的问题：当“发现”不再是瓶颈，真正稀缺的资源变成了验证、复现与可利用性证明。本文基于一次完整审计实践的成本数据，拆解各阶段的投入分布，并讨论这种成本结构对防守方与攻击方分别意味着什么。

二、审计流程与阶段划分

该实践将整个流程划分为五个阶段，形成一条从“筛选目标”到“产出完整利用”的流水线：

1. 目标筛选：从内核代码中圈定审计范围，确定优先审计的子系统与代码路径。
2. 静态分析：产出候选漏洞列表，给出初步的缺陷类型判断（如越界访问、释放后使用等）。
3. 动态复现：在开启内存检测能力的内核环境下编写最小复现用例，确认崩溃可稳定触发。
4. 可利用性初筛：判断崩溃是否位于可被攻击者控制的关键路径上，是否具备进一步利用的潜力。
5. 完整利用编写：构造信息泄露与提权链路，最终在启用常见 mitigations（如 SMEP/SMAP/KASLR）的发行版内核上取得高权限 shell。

各阶段的成本占比如下表所示（金额单位为美元，占比为近似值）：

阶段	主要工作	成本	占比
目标筛选	圈定约 280 万行审计范围	约 3.4 千	0.3%
静态分析	产出 2308 个候选	约 31.7 万	26.1%
动态复现	编写最小复现用例	约 7.3 万	6.0%
可利用性初筛	判断利用潜力	约 4.4 万	3.6%
完整利用编写	信息泄露 + 提权	约 77.6 万	63.9%
合计	—	约 121.3 万	100%

一个直观的结论是：真正用于“找”漏洞的投入约占四分之一，而用于“证明它真的能被利用”的投入接近三分之二。这与多数人对漏洞挖掘成本分布的直觉相反——在大规模自动化分析普及之前，人们往往认为“发现”才是最贵的环节。

三、候选到复现：高转化率背后的验证价值

2308 个候选漏洞中，有 1724 个被成功复现，复现率约 74.7%。这一数字值得展开讨论。

首先，高复现率说明候选质量整体较高。传统静态扫描工具的输出往往伴随大量误报，维护者需要花费大量精力甄别。而当候选能够以最小复现用例的形式提交时，甄别成本就从维护者一侧转移到了报告者一侧。

其次，复现本身是一种“可信度生产”。一份带有内存检测器崩溃日志、最小复现步骤、且在启用常见防护机制的发行版内核上真实取得高权限的报告，与一份仅写着“此处可能存在释放后使用”的静态分析结论，在维护者眼中的优先级完全不同。前者几乎可以直接进入修复流程，后者则可能长期停留在待确认状态。

这也解释了一个现实困境：内核社区每日收到的缺陷报告数量庞大，维护者对“又一份静态扫描报告”已经产生明显的疲劳。在报告过剩的环境中，可信度而非发现数量，成为决定处理优先级的关键变量。

四、完整利用编写的成本细节：长尾漏洞吃掉近四成预算

提权阶段的成本结构尤其值得分析。该阶段共有 1238 个提权候选，其中 1169 个成功取得高权限，成功率约 94%。平均到每个成功案例，成本约为 360 美元——这个量级说明，对于大多数缺陷类型，构造完整利用链路已经相当流程化。

但真正值得注意的是失败案例的分布：69 个失败案例平均每个耗费约 3922 美元，合计约 27 万美元，占提权阶段约 69.1 万美元总投入的 39%。换句话说，不到 6% 的“难啃”漏洞消耗了近四成预算。这些难啃的案例主要集中在竞态条件一类——这类缺陷触发窗口狭窄、时序敏感，复现与利用构造都高度依赖反复试验。

这一现象符合工程实践中常见的长尾分布：大部分任务可以快速收敛，少数任务会持续吞噬资源。该实践也坦言，如果增加一条“一小时无实质进展即放弃”的止损规则，整体成本可以显著下降。

这对成本建模有直接启示：总成本的主要变量不是平均能力水平，而是放弃策略的设定。是否止损、何时止损，决定了长尾部分会膨胀到多大。

五、对攻防双方的不同含义

同一组成本数据，站在防守方与攻击方视角，结论截然不同。

对防守方而言，约 121 万美元可以视为一个“上限参考”。由于其中近四成来自少数难啃案例的持续投入，只要建立合理的止损机制，实际支出具备较大压缩空间。防守方真正的收益不在于“把所有漏洞都利用一遍”，而在于通过复现与可利用性证明，筛选出真正需要紧急处理的那部分，并为其争取处理优先级。

对攻击方而言，成本模型则完全不同。攻击者没有义务处理难啃的漏洞——他们只挑便宜的打。94% 的提权候选可以在平均几百美元的成本内取得高权限，这部分才是现实威胁的主体。这也意味着，防守方在评估风险时，不应按“平均漏洞利用成本”来推算攻击者门槛，而应关注低成本、高成功率的那一类缺陷是否被及时修复。

六、修复进展与流程闭环

从流程效率看，扫描加人工分析共历时约 10 天。在这一周期结束时，这批漏洞中已有 61 个提权问题在上游完成修复，43 个已有暂存补丁，299 个处于公开讨论中。这一进展速度说明，高质量的复现与利用证明确实能够显著加速修复流转——报告者承担了验证成本，维护者得以直接进入修复决策。

从工程角度看，这条流水线的价值不仅在于“找到多少漏洞”，更在于把漏洞从“疑似”推进到“可操作”的状态。可以将其抽象为如下处理逻辑：

候选漏洞
  ├─ 静态分析置信度低 ──→ 低优先级，批量归档
  ├─ 静态分析置信度高
  │     ├─ 动态复现失败 ──→ 标记为待确认，限时止损
  │     └─ 动态复现成功
  │           ├─ 可利用性初筛不通过 ──→ 按普通缺陷上报
  │           └─ 可利用性初筛通过
  │                 ├─ 利用构造成功 ──→ 高优先级报告（含复现与利用证明）
  │                 └─ 超时未收敛 ──→ 止损，降级为复现级报告
  └─ 汇总统计，反馈至目标筛选策略

这一流程的关键设计点在于每一层都设有明确的降级出口，避免资源在低价值分支上无限沉淀。

七、实践启示

综合来看，这次审计实践提供了几条可复用的经验：

1. 把预算投向“可信度”而非“发现量”。在报告过剩的环境中，带复现与利用证明的报告才具备优先级竞争力。
2. 为长尾设置硬性止损。少数难啃缺陷会不成比例地吞噬预算，止损规则是成本控制的核心杠杆。
3. 区分“平均成本”与“攻击者成本”。防守方评估风险时应关注低成本高成功率的缺陷类别，而非整体平均值。
4. 缩短“发现到可操作”的链路。10 天内推动数十个问题进入修复流程，说明验证前置能够显著提升整体流转效率。

当发现环节逐渐标准化，漏洞挖掘的竞争重心已经转移到验证与证明环节。理解这一成本结构，无论对于建设自动化审计流水线的工程团队，还是对于制定修复优先级的维护者，都具有直接的参考价值。