内容摘要：我认识一个哥们在某大厂当安全运维，白天守着SOC大屏，看攻击流量跟看股票似的。晚上回家，他接私活给人家小电商做渗透测试。一单三千，周末干完，比加班费香多了。他管这叫“用爱发电，顺便赚点电费”。 这行当

我认识一个哥们在某大厂当安全运维，网络白天守着SOC大屏，安全看攻击流量跟看股票似的行业。晚上回家，副业他接私活给人家小电商做渗透测试。调侃一单三千，网络周末干完，安全比加班费香多了。行业他管这叫“用爱发电，副业顺便赚点电费”。调侃

这行当的网络副业，听着玄乎，安全其实路子野得很。行业最基础的副业是挖漏洞。各大平台有SRC（安全响应中心），调侃提交一个高危漏洞，几百到几万不等。但别以为这钱好赚。我见过有人为了个逻辑漏洞，把人家APP的支付流程逆向了三天三夜，最后提交上去，人家说“已知问题，忽略”。那种挫败感，比甲方改需求还让人想砸键盘。

稍微进阶点的，做培训。别笑，真有人靠讲“如何从零开始学黑客”月入过万。但这里头坑更多。你得会吹，还得真有两把刷子。我认识个讲师，讲SQL注入讲得唾沫横飞，结果学员课后提问一个关于WAF绕过的问题，他支吾半天，最后说“这个我们下节课讲”。下节课，学员跑了三分之一。这年头，韭菜不好割了，学员都精着呢，试听两节觉得你水，立马退款走人。

再往下，是写工具、卖脚本。GitHub上挂个开源项目，star多了，自然有人找你定制。但那活儿累。有个老哥给某金融公司写了个自动化扫描脚本，甲方要求兼容他们那套老掉牙的IE6内网系统。他改了七版，最后甲方说“算了，我们手动测吧”。那老哥跟我说，那一刻他感觉自己像个被渣男耍了的怨妇，付出了真心，只换来一句“你走吧”。

最隐蔽的副业，是当“白帽经纪人”。自己技术一般，但人脉广。手里攥着一批靠谱的渗透测试员和一批急着过等保的小公司。中间商赚差价，一单抽成20%。这活儿拼的不是技术，是情商。你得哄着技术大牛别嫌活low，还得哄着甲方爸爸别嫌报价高。有一次，甲方半夜两点打电话说系统被黑了，他一边安抚，一边赶紧在群里@那个正在打游戏的大牛：“兄弟，别推塔了，来活了，加钱。”

说实话，这行副业最大的坑，不是技术难，是法律边界。你以为你测的是授权范围内的系统，结果人家甲方内部有人使坏，反手告你非法入侵。我有个朋友就栽过。他给一家小公司做测试，当时口头说好了，没签合同。结果测出个严重漏洞，人家老板不但不给钱，还报警说他“恶意攻击”。最后折腾了两个月，证据不足没立案，但钱也黄了，还搭进去一堆时间。他后来跟我说：“技术再牛，不如合同写得细。”

所以啊，想干这行副业的，先掂量掂量自己几斤几两。别看着别人晒单眼红。那都是拿头发换的。白天上班盯日志，晚上下班挖漏洞，周末还得写报告。你以为你在搞钱，其实你在用命换钱。而且这行技术迭代快，你半年不看新漏洞类型，出来混就露怯。

但我还是劝你试试。为啥？因为这行有个好处——你永远在跟聪明人斗智斗勇。攻防对抗的刺激感，是写业务代码体会不到的。那种找到一个奇葩逻辑漏洞的快感，比中彩票还爽。哪怕赚不到大钱，至少你知道了——原来这个世界的网络，漏洞比筛子还多。

最后提醒一句：副业有风险，入行需谨慎。别等进去了，才后悔当初没多读两遍《刑法》。