内容摘要：凌晨三点，我盯着X平台上的一个项目页面，赏金写着“$50,000”，状态是“已确认”。提交者是个ID叫“m4sk”的人，漏洞描述只有三行字，连个像样的PoC都没贴。评论区有人骂他藏私，有人跪求细节。我

凌晨三点，挖漏我盯着X平台上的洞平一个项目页面，赏金写着“$50,挖漏000”，状态是洞平“已确认”。提交者是挖漏个ID叫“m4sk”的人，漏洞描述只有三行字，洞平连个像样的挖漏PoC都没贴。评论区有人骂他藏私，洞平有人跪求细节。挖漏我翻了翻他的洞平历史记录，两年时间，挖漏二十多个漏洞，洞平累计赏金超过八十万美元。挖漏这人从不发技术博客，洞平不参加安全会议，挖漏连头像都是默认的灰色方块。

挖漏洞平台就是这么个地方。它把安全研究员和厂商拉到同一张桌子上，中间摆着钱。厂商说，你帮我找问题，我按严重程度付钱。研究员说，行，但我得先看看你给多少。HackerOne、Bugcrowd、Synack，还有国内的补天、漏洞盒子，本质上都是这个逻辑。区别在于抽成比例、审核速度和厂商态度。

我注册过五个平台。第一个月颗粒无收，连个低危都没捞着。后来才明白，新手最容易犯的错是盯着大厂的主站。那些资产被几千双眼睛翻来覆去扫过，自动化工具跑了几百遍，你能想到的注入点早被人提交了。真正出洞的地方在边缘资产——某个收购来的小公司官网，某个测试环境的API，某个忘了下线的旧版管理后台。

有个朋友专挖某电商平台的漏洞。他不碰主站，只找那些带“test”“dev”“staging”前缀的子域名。去年他找到一个测试环境的数据库接口，未授权访问，能直接导出用户手机号。厂商确认后给了八千块，评级是中危。他跟我说，这价格算客气了，有些厂商把测试环境的问题当“非生产资产”处理，直接忽略。

平台审核也是个玄学。同一个漏洞，A平台判高危给两万，B平台可能判中危给三千。有次我提交了一个存储型XSS，审核员回复说“需要用户交互，降级为低危”。我回邮件解释，存储型XSS不需要诱导点击，只要页面加载就触发。对方隔了两天才改口，补了差价。那两天我一直在想，如果我不较真，这钱就没了。

赏金猎人之间很少交流。论坛上全是“求带”“求教程”，真正出洞的人闷声干活。有个圈子里的老手说过一句话：挖漏洞不是比谁技术强，是比谁更能熬。他每天花六小时扫资产，两小时写报告，剩下时间睡觉。连续三个月没出洞，第四个月一口气交了七个。平台给他发了季度奖励，多给了五千美元。

国内平台的情况不太一样。补天上的厂商以国企和金融机构为主，审核周期长，沟通成本高。有次我提交了一个越权漏洞，厂商回复说“内部评估中”，等了二十三天才确认。赏金倒是给得痛快，直接打款，没扣税。漏洞盒子上的互联网公司更多，响应快，但价格压得低。一个中危漏洞，HackerOne上能拿五百美元，国内可能只给五百人民币。

我见过最离谱的漏洞是个逻辑缺陷。某平台的积分兑换功能，在提交订单时把数量改成负数，积分不减反增。提交后厂商给了两千块，然后连夜修复。第二天我再看，那个接口已经加了签名校验。后来我在另一个类似平台上试了同样的思路，没成功。每个系统的实现细节不同，同一个漏洞模式换个地方就失效。

挖漏洞这件事，运气占三成，耐心占五成，技术只占两成。你不需要会挖零日，不需要懂逆向工程，只要比大多数人细心一点，比大多数人坚持得久一点。那些挂在排行榜上的人，不是天赋异禀，是把别人刷短视频的时间用来扫端口了。

平台上的赏金数字一直在涨。五年前一个高危漏洞给两千就算大方，现在动辄上万。厂商不是变慷慨了，是数据泄露的代价太高。一次用户信息泄露，罚款可能上亿，股价可能腰斩。花几万块买平安，这笔账谁都会算。

我还在挖。每天两小时，雷打不动。出洞就交，被拒就换目标。没什么宏大的目标，就是想看看自己到底能走多远。