作者：一桶布丁
當然這位業內大佬也說了，還好這個漏洞是寧教授先曝出來的，而且因爲時差的原因，所以目前華夏應該是最先收到這個消息的，這也意味着華夏受損會最小……
互聯網的特點被發揮到極致，無數消息在寧班羣裏彙總，很快大家便理出了脈絡，瞭解到這個下午發生了些什麼……
怎麼說呢？寧班的孩子們是真服了。他們想過如果寧爲教授出手，肯定能快速平息爭議，他們甚至相信寧爲如果打想打招呼，能把網上那些言論都刪掉。
如果真是這種情況的話，大家也許會覺得解氣，但心裏肯定不會太舒服。因爲那並不是他們所認可的方式。
但現在的情況真不一樣了。
當許多孩子再登錄之前那個程序員論壇，他們真的體驗到了耀武揚威的感覺……
因爲已經有人冒充寧班成員的身份，在裏面發帖了，帖子熱度很高，還全是膜拜聲。
“寧班的大佬們別鬧了，你們以後是要引領行業的，別跟我們這些小角色置氣。”
“我錯了，我真錯了，以後我再也不在論壇上湊這種熱鬧了，再也不說java永遠滴神了，饒了我們吧。”
“寧班的這幾位少俠，有話咱們好好說。真的，我們好多人已經集體@管理員，把那個喜歡廢話的傢伙丟小黑屋了，你們還滿意嗎？滿意的話拜託跟你們寧教授說說好話，拜謝了！！！這樣忙一整年，鐵人也熬不住啊！”
“別盯着咱們java啊，PHP就沒問題嗎？VB就是完美的嗎？C#真的沒有漏洞嗎？寧班的大佬們，跟你們家寧教授說說，也讓他們忙一下吧！別得着Java猛薅啊！求你們了。”
“艹，你們什麼人啊？我們搞VB的又沒惹到寧班，某些人別想着挑事兒！寧班很強，有目共睹！”
……
其實大家可以肯定論壇上說自己是寧班同學的這個ID，肯定不是他們班上的人，因爲這條帖子是下午四點多發的，這個時間寧班全員都在操場上揮汗如雨呢，今天可沒誰請假。
這其實是能讓寧班的孩子們憤怒的點，但這個時候大家沒誰計較這些。甚至絕大部分孩子都已經不太好意思繼續在論壇上落井下石了。
這些優秀而又驕傲，思想比一般孩子成熟卻又沒有經過社會歷練的小天才們，在論戰落入下風的時候激情滿滿的想着怎麼才能吵贏，但當對面已經潰不成軍的時候，懇求服軟的時候，卻真的讓他們沒了動力繼續去痛打落水狗，只是在心頭暗爽着……
於是寧班的羣聊裏，頓時熱鬧起來。
“哈，這幫傢伙知道厲害了吧？”
“寧教授太狠了，出手就是王炸！”
“嘿嘿，我覺得可以到論壇裏說上一句，只要他們不詆譭寧班，我們就保證不首先動用寧教授！”
“笑死我了，剛剛我看企鵝網上已經曝出來了，這幾天全國java程序員都得加班想辦法修復這個漏洞，連安全公司的程序員都不例外。而且國內幾乎所有科技公司的安全部門都在發通告，暫不接收ApacheLog4j2遠程代碼執行漏洞。現在就是Apache官方還沒消息，肯定是因爲時差，這次好玩了，應該不止是華夏出問題，全球所有使用Java的科技公司都要解決這個問題。”
膽子大一點的甚至開始直接@寧爲了。
“@寧爲，寧教授，您出來說兩句啊！”
有人帶頭，一幫孩子頓時熱情起來，爭先恐後的開始@起他們的精神導師……
……
不是寧爲沒關注寧班的羣聊，而是他現在也挺忙的。
寧爲是下午給甲骨文那邊發的消息，時差導致那個時候正是大洋彼岸的凌晨2點多，人們睡得最熟的時候。所以最先反應過來的還是華夏國內那些網絡安全公司跟各大雲服務商。
畢竟這種等級的漏洞太駭人了，一個處理不好，天知道多少設備會淪陷。畢竟Log4j2是個極爲常用的通用組件庫，這也就導致了該漏洞幾乎影響了java生態下所有的主流框架，這些主流框架又覆蓋了幾乎所有的Java技術。
可想而知反響有多大了。
所以外界的反應簡直再正常不過了。
尤其是這封郵件還是寧爲發去的，寧爲雖然在大醒垩Y依然是以數學上的成就著稱於世，哪怕他已經拿到了圖靈獎。但在科技界看來，寧爲在計算機方面的成就甚至可能比在數學方面的成就更輝煌。
湍流算法可是能改變網絡世界格局的產品，三維硅通管技術更是讓全球半導體行業進入新一輪洗牌階段，三月的橫空出世更是直接開啓了人類社會強人工智能的大門，三項技術不管哪一項都直接推動了生產力的進步。
至於數學方面的成就，大多是理論上的成就，雖然也很耀眼，但並沒有這些表象那麼直觀。
所以接到寧爲的郵件之後，這些公司的安全部門第一時間就開始驗證，發現果然如同寧爲所說的那樣後，通告開始以光速發了出去，隨後就是Java的程序員們開始開會，商討該如何修復這個漏洞。
問題就在這裏了，寧爲郵件是羣發的，全華夏做網絡安全的、做雲服務的都發了，這些公司都有自己的客戶，驗證之後這些公司在發通告的同時，肯定會第一時間告知自己的客戶，無數Java程序被組織起來的時候，肯定要告知他們問題出在哪裏，要做演示，然後這個漏洞就這麼傳出去了……
從一個本來只應該官方暫時知道的漏洞，成了華夏無數普通程序員都知道的漏洞，這其實是件很恐怖的事情。按照正常的順序，比如寧爲如果希望得到官方的嘉獎，應該只把漏洞先彙報給Apache官方，然後Apache官方會組織技術力量分析並解決這個漏洞後，再向外界發通告，打補丁，以解決漏洞問題。
但因爲時差關係，Apache官方注意到寧爲的這封郵件已經是漏洞發酵幾個小時之後了，相當於給官方想辦法打補丁解決漏洞的時間幾乎沒有……
於是大家都瘋了。
不能說寧爲的處理方式不對，因爲寧爲真的都是按照華夏的法律法規來的。他發現了漏洞，沒有用於自己牟利，而是第一時間將漏洞告知了官方跟華夏的網絡安全公司，儘可能的爲大家減少損失，還不求回報的，已經將好人兩個字演繹到了極致，實在不能要求太多了。
但對於Apache官方來說，他們的客戶不止在華夏，而是遍及全球……
華夏是反應很快速，但對於華夏境外的企業來說這可並不是一個好消息。
問題還不止於此，等到官方安全部門瞭解到這件事的前因後果，尤其是看到寧爲發的微博之後，最後那句讓華夏無數Java程序員們震撼不已的話，深深的刺痛了他們本就已經極爲脆弱的心肝脾胃肺……
“……如果您太閒的話，這次讓你先忙上一陣，如果下次還在沒有任何根據的情況下吐槽寧班，我能讓您忙上一整年。”
這是什麼意思？
這意思是，因爲突發情況，所以寧爲先公佈了這一個漏洞，如果還有Java程序員繼續刺激寧班，他還能用同樣的方式公佈更多的漏洞？
換句話說，寧爲手上掌握的Java漏洞不止這一個，而是很多，有需要隨時都能再拋出來？
這消息傳開了，誰還敢用Java？手忙腳亂一整年？這得掌握了多少Java的高危漏洞？或者說他們寫的不是計算機語言，而是寫的漏洞？
看到這話，哪能不讓人慌的一匹？甚至表面上穩如老狗的樣子都沒法做了。
於是，當第二天太陽初升的時候，Apache官方也開始忙碌起來，甲骨文這邊也表現出了極高的效率，先是官方的公佈了漏洞確實存在，向全世界所有客戶告知了安全風險，另一隊人則開始拼了命的想辦法聯繫寧爲。
寧爲的聯繫方式很好找，很多人都知道寧爲的號碼，而且有現成的郵箱。
問題在於發郵件寧爲不一定會回，打電話他的號碼設置了白名單，不在他通訊錄內的號碼都被無情的直接攔截，根本打不進去。
如果放在華夏，這就是妥妥的臨時抱佛腳，平時沒燒香導致的慘案。
好在大家的朋友圈或者說雙方的通訊錄裏還是有重合的，輾轉找了幾位大佬之後，終究還是聯繫上了寧爲。
其實在甲骨文決定讓JavaEE開源並免費之後，似乎這項技術就成了不需要成本便能推廣的一種計算機主流語言。
但實際上Apache基金會的架構卻跟郀I的公司沒什麼區別，內部甚至也有升遷機制。比如基金會下設一個董事會，董事會監督和管理整個基金會，基金會下的每個Apache項目都有一個項目管理委員會來負責具體項目的管理工作。
如果仔細研究董事會的成員就會發現，那些董事、理事很多都在英特爾、IBM、臉書等等這樣的大企業擔任要職，原因當然是作爲開源免費的基金會，他們需要這些大企業的捐款。這些企業捐款的動力則在於影響這些開源軟件的發展方向。
比如對於硬件廠商來說，這種影響力極大的開源軟件能否更支持自家的硬件？對於微軟這樣的公司來說，既然這技術已經發展到一定程度，尾大不掉了，不如干脆捐點錢，讓Java對自家的軟件更友好點，同樣也屬於雙贏。
還有本就沒有針對性的利益紛爭，比如臉書這樣，它也需要用到Apache的軟件，但臉書的主要業務是社交，而不是開發服務器，通過捐款來讓這個組織爲其提供完善的技術其實反到能省下大筆的研發費用。
這也是現在各種開源社區被關注的原因所在，大家都有各自的利益訴求。當然前提是Java能保證目前的地位，有足夠多的人使用，才能讓保持無數大小廠捐款的動力。
所以不管打通電話時的心情如何，但作爲Apache開源基金會目前的負責人，阿伯塔·林恩還是將姿態放的很低的，可以說這是對強者的尊敬，也能說這是對錢的尊敬。
“寧教授，終於聯繫到您了，可能您不太清楚，我們很多管理員其實都對寧教授非常尊敬……”
很客氣的開篇，無數恭維的話像不要錢一樣的井噴，甚至最後這位負責人直接拋出了橄欖枝：“其實我們一直期望寧教授能在Apache基金會任職，我在之前一直考慮向您發出邀請，成爲我們董事會的一員，我想終生榮譽董事這個身份跟您是匹配的，我們可以共同爲維護Java環境而做出貢獻，不知道寧教授是否感興趣？”
坐在辦公室裏的寧爲完全沒準備好。
好吧，他在微博上的發言，以及把漏洞通知官方，完全就是爲了維護寧班的凝聚力而已，結果現在官方急了……
這讓寧爲感覺有些好笑，終生榮譽董事？說實話，寧爲對這些頭銜不太在意。如果想要拿頭銜的話，江大那邊已經聯繫他好幾次了，希望他去一趟江大，拿個終身特聘榮譽教授的證書，他一直都因爲寧班抽不出時間過去。
自然更不會看重這種基金會終身榮譽董事的身份。
“林恩先生，這些事情以後再說吧。說實話，我對Java並不是太懂，也沒打算做什麼研究，這個董事身份還是算了，你找我到底有什麼事？漏洞不是已經提交給你們了嗎？”
“寧教授，您太客氣了。如果您都對Java沒研究……好了，不說這個了。給您打電話的確是有事情，我們非常感謝您能向我們提供Java的高危漏洞，但您知道的，如果Java還有其他的漏洞的話，你可以按照社區公告的方式提交給我們，我們將能按照約定的方式給您提供一筆獎金……”
“哦，還有獎金啊！其實獎金我不太需要的，不過如果有的話，你們到是能以Apache基金會的名義捐獻給燕北大學的寧班。放心，這些獎金可以用於寧班的獎學金以及對優秀老師的獎勵。我代表寧班的全體師生向Apache基金會表示感謝……”
阿伯塔·林恩：“……”
------------
332 N重誤解
阿伯塔·林恩是很想硬氣起來的，其實以往他都能很硬氣，甚至如果哪位安全專家發現了java想要拿到獎金的時候，基金會都能很硬氣。
比如跟寧爲探討一下，如果想要獎金，那漏洞就不能以這種方式曝光；比如他很想告訴寧爲要對他們這些開源工作者足夠的尊重，他們在全球有着數以百萬的客戶，有以千萬計算的程序員靠他們提供的免費程序生活……
但這些話終於還是活生生的忍住了。
原因其實很多，也許因爲他真不知道寧爲手上到底是否掌握了很多漏洞，他也無法確定寧爲是否到底在借題發揮，他甚至不能確定寧爲是不是想推出一款全新的計算機語言，所以先拿Java開刀。
對面那個年輕的學術大家以往的戰績太過輝煌，讓他沒法硬氣起來，在無語過後，也只能順着寧爲的意思說了下去，畢竟如果能花點錢買平安的話，也許是最好的結果。
唯一的問題是，對面燕北大學教授似乎沒太聽懂他的意思，似乎是在討要這次Log4j2漏洞的獎金。
說真的，其他漏洞的獎金阿伯塔·林恩肯定願意給，只要寧爲願意把漏洞提交給他們，他甚至可以不關注寧爲提交的材料格式是否規範，但是這個漏洞……
“寧教授，捐款這個好說，但我希望能確定的是，您手上是否還有關於Java其他的漏洞……”
“怎麼？你們還想多給我們的寧班捐點款？放心吧，有肯定是有的。真的，我之前也沒想到Java的漏洞還是挺多的。如果你們真的肯無私的幫助我們華夏建設教育事業，我也可以再給你們提供一些。”寧爲爽朗的說道。
這事一出寧爲直接找上三月，自然是知道三月有蒐集幾乎現在所有主流計算機語言跟軟件的漏洞，其中也包括主流的操作系統。只是這事一直停留在讓三月進行蒐集，寧爲還沒拿出來用過。
當時蒐集這些漏洞其實還是爲了更好的推進三月智能平臺，那個時候寧爲想的其實很簡單，讓那些大企業加入到三月智能平臺的籌建，他們給出現在三月最需要的數據，平臺這邊當然也要回報給這些企業等值的東西。
幫助這些企業找到深藏在代碼中的漏洞，也是算是加入平臺的福利了，可誰知道寧爲認爲這是雙贏的局面，可人家都不太領情，於是這些東西三月是收集了，但都沒派上用場。
怎麼說呢，強人工智能時代，所有人似乎都小看了強人工智能的能力，這讓寧爲也覺得很無奈。現在這種情況，大概就屬於廢料利用了。
以寧爲現在的身份跟地位，自然不可能幹出拿着一堆的漏洞去牟利這種事情，也就是這次事情正好碰上了，不然寧爲自己都快忘了還有這麼一茬兒。
寧爲的話卻把阿伯塔·林恩徹底給整不會了。
基金會肯捐款就再多提供一些BUG的意思，在他的理解便是需要基金會先給燕北大學捐款，然後寧爲再告訴他們java的一些bug。但這跟流程不符，一般的流程明明應該是，寧爲先提交bug，然後由專業的安全人員對bug進行審覈，然後按照內部規定確定獎金的等級，然後再把錢打給bug的提供者。
這先捐錢……多少合適？
很想跟寧爲說說規矩，但是想到對面似乎就不是個喜歡按條理出牌的大佬，而且隨手曝出的漏洞的確太過恐怖，阿伯塔·林恩又猶豫了。
審慎的思考了半晌後，阿伯塔·林恩終究還是決定妥協，說道：“我願意代表基金會向燕北大學捐款500萬美元，寧教授覺得如何？”
“五百萬美元？哦，懂了，你們的意思是，我要先給你們漏洞，然後你們纔會決定捐多少款的對吧？這五百萬美元就是之前我給你們這個漏洞的獎金？對吧？那等會我再給你們發個漏洞詳細情況，你看看能捐多少，我心裏也好有個數？”寧爲問了句。
阿伯塔·林恩無語了……他是真的沒想到寧爲胃口能這麼大，感覺像是在被訛詐。但其實他是真的誤會了寧爲，如果他跟一些行業內大佬多交流一下，就會知道現在他的許多同胞大佬找上寧爲送錢的時候，開口就是以億爲單位，到了他這裏張口五百萬，着實沒能提起寧爲太大興趣。
說白了，這純粹是胃口被養叼了，又或者說對錢已經沒什麼概念了，阿伯塔·林恩的同胞們已經成功讓寧爲產生了一種對岸大公司都極其富有的，說到給錢，那是一個比一個大方。
“不是，寧教授，您可能對漏洞獎金這塊有什麼誤解。實際上按照Password公佈的漏洞獎勵標準，一般來說0day的高危漏洞最高也就是20萬美元的獎金。以谷歌爲例，去年全年穀歌在發現漏洞獎勵方面的投入也不過700萬美元，這已經很多了，微軟跟蘋果在漏洞獎金方面的花銷甚至還要少於谷歌。”
“Apache基金會作爲一家爲世界許多公司免費提供軟件使用的公司，其實在提供漏洞獎勵這塊更不可能有太多的資金投入。以Java爲例，很多漏洞都是我們內部會員免費提供給我們的。這五百萬美元的捐款是希望您能將掌握的漏洞都能提前交給我們，讓我們能對Java進行更好更有針對性的優化，這也是我們希望對數以百萬計的會員負責。”
阿伯塔·林恩苦笑着解釋道。
寧爲恍然大悟。
他是真從沒關心過所謂的漏洞獎金什麼的，畢竟他不靠這個發財，只是聽了阿伯塔·林恩的話，寧爲感嘆道：“原來是這樣啊！難怪這些公司的產品推出那麼多年了，漏洞還那麼多，原來這些大公司在漏洞獎金這塊的支出這麼小氣啊？能給黑客帶來數以億計收入的漏洞，獎金最高才給到20萬美元？安全專家們找到了漏洞哪有動力去跟那些黑客一起研究這些啊。”
阿伯塔·林恩當然不會告訴寧爲，大公司明面上給予的漏洞獎勵是一套，同時還有專門的人員在會盯着黑市上直接交易的漏洞。就算他想解釋，整個漏洞產業鏈也是非常複雜的，三言兩語又哪裏說得清楚？只能耐心的跟寧爲科普道：“不不不，寧教授，您不能這麼說。畢竟找漏洞拿獎金是完全合法的，值得提倡。利用漏洞牟利放在任何一個法制健全的國家都是非法的，是要受到打擊的。這兩者真不能放到一起比較。”
寧爲興趣缺缺的說道：“那行吧，五百萬就五百萬吧。回頭我會提供一個有問題的列表發到你們的官方郵箱，當然你們只捐了這麼點錢，我也就只能隨便截張圖給你們了，可能不全，也不會給你們再做演示了。就這樣吧，再見，林恩先生。對了，記得這五百萬是定向捐給寧班的，別搞錯了。”
雖然說市場行情就是這樣，但寧爲還是覺得索然無味。就好像雞肋，棄之可惜。不過五百萬美元也是好幾千萬人民幣了，用來給寧班發發福利其實也還行。
但想到其他大富豪一般給學校捐款都是上億上億的捐出去，他這要點捐款才五百萬美元，的確還是有心理落差的。
“等等，要不一千萬美元？真的，寧教授，這是我們在修補漏洞這塊好幾年的預算，都準備拿出來爲未來寧班的建設出點力，這……應該差不多了吧？但有一點，以後如果您的團隊又發現了其他漏洞，能否按照流程先提交給我們Apache基金會，由官方決定什麼時候對外發布？”
“那如果你們一直不更新補上漏洞豈不是漏洞會一直存在？”
“這其實可以定一個給官方反應的日期，比如一個月。如果我們在確認收到您發的漏洞信息之後一個月還沒有針對漏洞發佈更新補丁，您就可以將這些漏洞提交給其他網絡安全公司。”
“那……行吧！一個月的時間雖然長了點，但事情還是要做完美些好。這樣，你們把這筆錢捐給寧班之後，我會把我們團隊掌握的一些漏洞發到官方的郵箱。”
“您放心，我們馬上就會聯繫燕北大學那邊瞭解捐款渠道，這一千萬今天應該就能特批下來，但不能確定什麼時候到指定的捐款賬戶上。您知道的，大筆轉賬需要些審覈的時間。不過我們可以在官網同步宣佈這個消息，保證這筆錢能到位的。”
“行吧，那我等會給你們發一份清單過去。就這樣吧，我先掛了。”
聽到清單兩個字，阿伯塔·林恩忍不住抖了抖眉毛，突然覺得這一千萬美元花得大概值了。
“好的，再見，寧教授。”
“再見，林恩先生。”
……
不太讓人愉悅的一通電話之後，寧爲讓三月再次調出了Java的漏洞庫列表，看了整整五頁的內容，乾脆讓三月按危險度比例挑選了列表中一半的漏洞詳情，發給了Apache官方提供的郵箱。
這個數字是很恰當的，完全按照阿伯塔·林恩剛纔說的價格來的，起碼在寧爲看來對得起對方捐贈的那一千萬美元了。要找出並整理這些漏洞，還是消耗了三月不少算力的，大家又並非朋友，他當然不可能給基金會做義務工。
等值交換就挺好，誰也不佔誰便宜。
但即便如此，當對面接收到郵件的時候，一幫技術人員都愣住了。
這是在開玩笑嘛？
列表裏竟然有13個還沒發現的高危漏洞？21箇中危漏洞以及49個低危漏洞？