HackerOne：漏洞赏金不是洞平童话，是洞平门生意

2017年，一个叫Arne Swinnen的洞平比利时安全研究员盯上了Uber。他花了几个通宵，洞平翻遍了Uber的洞平API文档和移动端流量，最后在子域名`uberpets.com`上找到一个被遗忘的洞平测试环境。那个环境直接连着生产数据库，洞平连个密码都没设。洞平他拉出几百万条乘客记录，洞平包括姓名、洞平电话、洞平行程轨迹，洞平然后写了个报告提交到HackerOne。洞平两周后，洞平Uber打给他一万美金。洞平这故事不是孤例，HackerOne上每天都有类似的剧情在上演。

这个平台的本质，是把“漏洞挖掘”从地下黑客的灰色游戏，变成明码标价的悬赏市场。企业挂出赏金，白帽黑客动手测试，平台抽成约20%。听起来像众包测试，但实际操作比这血腥得多。你去翻HackerOne的公开漏洞列表，会发现大量报告来自那些每天刷目标、写自动化脚本的职业赏金猎人。他们不跟你谈情怀，只关心`critical`级别的SQL注入能换多少美元。

有个细节特别有意思：HackerOne上的漏洞报告平均响应时间大概在5天左右，但真正决定赏金高低的是“影响范围”而非“技术难度”。比如一个简单的XSS，如果打在`admin.xxx.com`上，可能值3000刀；同样一个XSS，打在`blog.xxx.com`上，可能只值200刀。企业按资产价值定价，而黑客们早就摸清了这规律。我认识一个专职挖洞的哥们儿，他每天干的事就是盯着各大公司的资产测绘页面，专找那些没人维护的旧子域名——因为那上面的漏洞往往又蠢又值钱。

当然，HackerOne也不是什么乌托邦。争议从来没断过。有些企业挂个低赏金甚至零赏金的项目，把平台当免费渗透测试用——漏洞修完，赏金拖着不发。还有些企业，你报了漏洞，他们转头就提交给CVE库，自己落个“负责任披露”的好名声，赏金却一分不给。HackerOne的仲裁机制有时候也让人窝火，判定标准模糊，申诉流程能拖上三个月。

但换个角度看，这平台确实改变了行业。以前安全研究员发现漏洞，要么卖给黑市，要么发博客炫耀，企业只能干瞪眼。现在有了HackerOne，至少有个正规渠道能让双方坐下来谈。美国国防部的“Hack the Pentagon”项目就是通过HackerOne运行的，五角大楼都愿意公开悬赏找漏洞，这信号够明显了。

说到底，HackerOne的成功不在于技术多牛，而在于它把“信任”做成了可交易的商品。企业花钱买一份心安，黑客用技术换一笔收入，平台抽水赚个差价。三方各取所需，没什么高尚可言，但比黑市交易干净得多。至于那些整天喊着“漏洞赏金太低”的研究员们，他们还是会继续提交报告——因为在这个行业里，能光明正大赚钱的渠道，真没几个。