漏洞提交平台赚钱

凌晨两点，漏洞我盯着HackerOne后台跳出的提交那行小字——“Your report has been triaged as High severity”——账户余额随即多了500美元。这不是平台什么电影桥段，是赚钱漏洞赏金猎人的日常。很多人以为挖漏洞得是漏洞黑客电影里那种敲几行代码就能黑进五角大楼的角色，其实门槛比想象中低得多。提交你不需要是平台天才，只需要比大多数人更细心，赚钱再加一点不达目的漏洞不罢休的轴劲儿。

漏洞提交平台说白了就是提交企业花钱买平安。Google、平台微软、赚钱苹果这些公司把自家系统挂在HackerOne、漏洞Bugcrowd、提交Synack上，平台全球的安全研究员谁先找到漏洞，谁就拿钱。价格从50美元的信息泄露到几十万美元的远程代码执行都有。我认识一个在郑州做渗透测试的小伙，白天给甲方做安全评估，晚上蹲在补天平台上刷公益SRC。去年他靠一个逻辑漏洞拿了8万人民币，那漏洞说白了就是支付时能改商品数量为负数，程序员忘了做边界校验。

想靠这个赚钱，第一步不是学编程，是学会“找茬”。普通人看到网页只会按流程操作，漏洞猎人看到输入框就想填点奇怪的东西——单引号、百分号、超长字符串。有次我在一个电商平台注册账号，用户名填了' OR 1=1--，页面直接报数据库错误。这种SQL注入漏洞现在虽然少了，但逻辑漏洞遍地都是。比如修改密码时抓包，把用户ID从自己的改成别人的，如果系统没校验，你就能改任意用户的密码。这种漏洞不需要多深的代码功底，靠的是观察力和耐心。

平台选择有讲究。HackerOne和Bugcrowd是国际大厂，赏金高但竞争激烈，一个漏洞可能同时有几十个人在挖。国内补天、漏洞盒子更适合新手，公益SRC虽然钱少甚至没钱，但能练手攒排名。我刚开始在补天提交了二十多个漏洞，大部分是低危的信息泄露，每个只给50积分。攒到500分换了张京东卡，请室友吃了顿烧烤。那会儿技术烂，但养成了习惯——看到登录框就想试试弱口令，看到URL参数就想改改数字。

真正让我赚到第一笔像样收入的，是一个教育平台的越权漏洞。登录后抓包发现查看成绩的接口只传了学生ID，没传当前用户身份。我把ID改成隔壁班同学的，直接看到了他的期末成绩。提交后厂商确认，给了2000块。钱不多，但那种“原来我真能靠这个吃饭”的感觉很上头。后来我专门盯着越权、支付逻辑、验证码绕过这些类型，因为大厂代码审计严，这些业务逻辑漏洞反而容易漏。

别指望靠这个暴富。大部分漏洞猎人月收入在几百到几千美元之间，顶尖的能到几万，但那是全职挖了五六年、手里握着几十个独家目标的狠人。我现在的策略是每周花两个晚上，专门看新上线的众测项目。新项目往往代码刚上线，漏洞多，竞争少。上个月一个区块链钱包项目，我提交了三个中危漏洞，赚了1800美元。其中一个是钱包地址校验不严，能把自己的余额转成负数——这漏洞说穿了就是没检查转账金额是否大于余额。

工具方面，Burp Suite是必备的，社区版免费够用。再学点Python写自动化脚本，比如批量扫子域名、批量测试弱口令。但别太依赖工具，工具扫出来的都是已知漏洞，厂商早修了。真正值钱的是你对业务的理解——这个功能为什么要这么设计？开发者可能在哪里偷懒？这种思考方式才是核心竞争力。

最后说点实在的。这行没有捷径，前三个月可能一分钱赚不到，提交的漏洞全被标记为“重复”或“不适用”。但只要你坚持看别人的漏洞报告，分析厂商的修复方式，慢慢就能摸到门道。我现在看到任何一个网站，第一反应不是“这页面挺好看”，而是“这个搜索框能不能注入？这个上传接口能不能传webshell？”——职业病，但挺值钱的。

本文地址：http://www.79wt.cn/news/031a1899950.html