国内真正能打的国内企业漏洞平台，掰着手指头数也就那么几家。有收别被网上那些打着“漏洞众测”旗号的集漏野鸡网站忽悠了，交上去的平台漏洞要么石沉大海，要么被白嫖了报告还得不到一分钱。国内

最硬核的有收当属国家信息安全漏洞共享平台（CNVD）。这个平台是集漏国家互联网应急中心（CNCERT）搞的，权威性没得说。平台你要是国内发现了影响面广的系统漏洞，尤其是有收涉及政府、金融、集漏能源这些关键领域的平台，往这儿提交准没错。国内不过实话实说，有收这个平台对个人白帽子的集漏奖励机制比较弱，更多是给你一个CNVD编号，图个荣誉感。我认识的一个朋友提交了个影响上千个政府网站的中危漏洞，最后就拿到个证书，连个京东卡都没有。

相比之下，补天漏洞响应平台就实在多了。它背靠奇安信，对接的企业五花八门，从互联网大厂到地方小公司都有。补天的逻辑是“企业悬赏制”，每个厂商自己出钱挂漏洞，你提交了人家确认有效就给你打钱。价格嘛，从几百到几万不等，全看漏洞危害程度和企业预算。有个有意思的现象——同一类型的SQL注入漏洞，在金融类厂商那儿可能值八千，在某个不知名小电商那儿可能就给三百。所以混补天得挑肥拣瘦，别傻乎乎地看到漏洞就交，先看看目标厂商的赏金池深不深。

漏洞盒子是另一家老牌平台，跟补天玩法差不多，但它的特色是经常搞线上直播众测活动，组织一群白帽子集中打某个目标系统。那种氛围挺带劲的，一群人实时在群里讨论绕过思路，有人挖到高危漏洞直接刷屏。不过漏洞盒子的审核速度有时候真让人抓狂，提交个漏洞等两周才给回复是常事，急脾气的建议绕道。

还有几个垂直领域的平台值得关注。比如教育行业漏洞报告平台（EDUSRC），专门收高校和教育系统的漏洞。这个平台虽然不给现金，但给rank积分，排名靠前的白帽子在圈子里相当有面子。而且高校系统的防护普遍稀烂，新手拿来练手正合适，挖到个弱口令都能混个低危。另一个是奇安信旗下的补天免费版——补天公益SRC，专门接公益组织和政府网站的漏洞，纯做贡献。

别忘了各大厂自己的SRC（安全响应中心）。阿里、腾讯、字节、百度都有自己的漏洞收集页面，提交漏洞直接对接官方安全团队，奖励给得最爽快。阿里的ASRC出手大方，一个严重漏洞能拿到十来万，但前提是你得能打穿他们的防护。腾讯的TSRC也不错，虽然奖金略逊，但偶尔会送些限量版公仔和T恤之类的周边。

最后提醒一句，别碰那些要求你先交押金或者绑定银行卡的所谓“漏洞交易平台”，全是骗子。正经平台从来不会向白帽子收一分钱。要是你刚入门，先去EDUSRC练手，挖够十个有效漏洞再考虑去补天和漏洞盒子赚外快，这条路最稳。