内容摘要：凌晨三点，我在一个名为“漏洞盒子”的众测平台上翻到一条新提交：某省级政务App的越权漏洞，能直接调取用户身份证照片。提交者ID叫“安全研究员小张”，头像是个戴墨镜的猫。这哥们过去半年提交了47个漏洞，

凌晨三点，免费我在一个名为“漏洞盒子”的漏洞众测平台上翻到一条新提交：某省级政务App的越权漏洞，能直接调取用户身份证照片。网站提交者ID叫“安全研究员小张”，免费头像是漏洞个戴墨镜的猫。这哥们过去半年提交了47个漏洞，网站其中高危23个，免费平台给他打了9.2分——这个分数在圈子里相当于黑客界的漏洞“米其林三星”。

免费漏洞网站分两种。网站一种是免费厂商自己搭的SRC（安全响应中心），像腾讯、漏洞阿里都有，网站你挖到漏洞他们给你积分换奖品，免费最高能换台iPhone。漏洞另一种是网站第三方平台，比如补天、漏洞盒子，他们把企业拉进来，白帽子挖到漏洞，平台审核后给奖金，企业掏钱买安全报告。听起来挺美，对吧？但真实的生态远没那么光鲜。

我认识个叫老周的白帽子，白天在国企做运维，晚上蹲在出租屋里拿Burp Suite扫网站。他说自己去年挖了300多个漏洞，到手奖金不到两万块。“大部分是低危的，SQL注入都算运气好，现在企业都上WAF了，想拿高危得碰他们新上线的业务系统。”他给我看后台记录，有个电商平台他提交了12个漏洞，平台只确认了3个，理由写“无法复现”。老周骂了句脏话：“他们测试环境跟生产环境配置不一样，我录了视频都不认。”

平台这边也有苦衷。审核员每天要过几百份报告，大部分是重复的——同一个漏洞十个人提交，只有第一个有效。还有不少是“凑数”的，把不存在的问题写得天花乱坠，就为了混个积分。有个平台运营跟我吐槽：“最怕遇到那种拿扫描器全扫一遍就提交的，几百个漏洞报告里能用的不到一成，我们还得一个个点开看。”

真正值钱的漏洞从来不会出现在这些公开平台上。地下黑产收0day（未公开漏洞）的价格是公开平台的几十倍，一个能打进银行内网的漏洞能卖到六位数。白帽子圈子里流传着一句话：“在免费网站上挖洞，赚的是情怀，亏的是电费。”但为什么还有人干？有人为了简历好看——大厂招聘时，补天排名前100是硬通货；有人单纯享受破解的快感，就像有人痴迷数独一样；还有人是真信“正义”——那个小张在漏洞详情里写：“该漏洞可能导致全省居民隐私泄露，建议24小时内修复。”

平台越来越像猎头公司了。他们从企业收年费，按漏洞等级给白帽子发奖金，自己抽成20%到30%。去年某知名平台被曝出拖欠白帽子奖金，拖了半年才发，理由是“企业客户还没打款”。白帽子们怒了，集体去微博讨薪，最后平台发了个道歉声明，说是“财务流程问题”。这事之后，不少高手转去做了“众测众包”的私活——直接在Telegram群里接单，企业发测试范围，白帽子报价，走第三方担保交易，平台连根毛都分不到。

免费漏洞网站的存在本身是个悖论。它把黑客技术商品化，却没法给技术定个公允的价格。有个细节我印象很深：老周去年挖到一个某银行App的漏洞，能改转账金额（当然是测试环境）。他提交后，银行奖励了他5000块，外加一面锦旗，上面写着“网络安全卫士”。老周把锦旗挂在出租屋的墙上，旁边贴着他妈的照片。他说：“我妈以为我在公安局上班。”

现在你打开那些平台，首页永远挂着“累计发现漏洞XX万个，为企业挽回损失XX亿元”的滚动数字。但没人告诉你，这些数字背后，是无数个老周在深夜里对着屏幕抓头发，是审核员在重复报告里找金子，是企业在“花小钱买安心”和“真被黑了大出血”之间反复横跳。免费的东西，往往最贵——只不过这成本，有人用时间付，有人用信任付，有人用职业生涯付。

小张后来拿那个越权漏洞换了个“优秀白帽子”的电子证书，外加800块奖金。他在朋友圈晒了张截图，配文：“第48个，继续。”底下有人评论：“大佬带带我。”他回了个呲牙笑的表情，没再说话。