漏洞要钱

凌晨两点，漏洞钱我的漏洞钱手机屏幕亮起，一条来自乌云平台的漏洞钱通知。某家银行的漏洞钱漏洞报告被确认，等级“高危”，漏洞钱赏金五千。漏洞钱我盯着那行字，漏洞钱想起三天前自己提交的漏洞钱漏洞还被标着“忽略”。同样是漏洞钱一行代码的事，有人靠它买咖啡，漏洞钱有人靠它付房租。漏洞钱

漏洞要钱，漏洞钱这说法太直白了。漏洞钱可现实就是漏洞钱这样——一个SQL注入点，在暗网能卖到三千美元；在漏洞众测平台，漏洞钱同样的洞可能只值五百。差价不是技术含量，是渠道和包装。我认识一个白帽子，专挖小众CMS的洞，每个月稳定进账两万。问他秘诀，他说：“大厂修得快，小厂给钱爽，但真正赚钱的是那些没人管的系统——医院挂号平台、学校教务系统、老旧的政府网站。它们不公开收漏洞，但私下有人收。”

这话让我想起去年某省社保系统被拖库的事。泄露的数据在电报群里论条卖，一条两块钱。没人知道漏洞是谁挖的，但挖到的人肯定没走正规渠道。正规渠道的流程是：提交报告、等待审核、修复确认、打款。顺的话两周，不顺的话两个月。可黑市不讲究这些，一手交钱一手交货，漏洞就是硬通货。

漏洞定价也挺魔幻的。同一个逻辑漏洞，放在电商平台值五千，放在游戏里只值两百。因为电商直接关联支付，游戏里顶多刷点道具。但游戏公司反而更舍得花钱——他们怕外挂，怕脚本，怕玩家用漏洞破坏平衡。我见过一个打游戏出身的朋友，专门找手游的协议漏洞，每个月靠卖报告给厂商赚一万多。他说这行跟炒股一样，得研究厂商的脾气。腾讯出手大方，网易审核严，小厂干脆不搭理你。

最讽刺的是，有些漏洞压根不值钱，但架不住有人愿意为“名气”买单。某安全大会上，一个十八岁的学生晒出自己挖到的苹果漏洞，全场鼓掌。后来私下聊天，他说苹果给的那点奖金连机票都不够，但这份履历让他在实习面试时直接免了技术面。你看，漏洞的价值从来不只是钱，有时候是敲门砖，有时候是护身符。

可别以为漏洞要钱就容易。我蹲过几个众测平台，盯着那些“悬赏榜”上的目标，一盯就是整夜。有的平台把漏洞等级压得死死的，明明能拖库的洞只给个“中危”评分，奖金直接砍半。有的厂商更绝，收到报告后拖三个月不修复，等你催了才说“已确认，但暂不修复”，然后悄悄把漏洞补上，钱就不给了。这行当没有仲裁，你只能认栽。

说到底，漏洞要钱，要的是信息差的钱。知道哪里值钱、谁会买、怎么包装，比会挖洞重要得多。我见过技术顶尖的老哥，因为不会谈价，一个严重的洞被厂商用两千块打发。也见过只会用扫描器的脚本小子，把重复的洞换个说法提交三次，每次都拿钱。这世道，会写代码的不如会讲故事。

不过话说回来，真要指望着靠漏洞发财，不如去写外挂。至少那玩意儿明码标价，月卡三十，周卡十块。漏洞这行，钱来得快，去得也快，还总得提心吊胆——怕厂商赖账，怕平台跑路，怕自己哪天不小心碰了不该碰的系统，赏金没拿到，先收到律师函。

我的手机又亮了。这回是另一家平台的邮件，说我提交的漏洞被评定为“低危”，奖励五十元。我关掉屏幕，想起那句老话：饿死胆小的，撑死胆大的。可在这行，胆大的多半进去了，胆小的还在为五十块熬夜。