上周三凌晨两点，新手我盯着补天平台上刚提交的洞平漏洞报告，状态从“待审核”跳成“已确认”，新手奖金栏显示80元。洞平不多，新手但这是洞平我第一次在SRC平台赚到钱。新手想靠挖洞赚钱，新手别被那些“日入过万”的洞平截图忽悠，真实情况是新手：前三个月能挖到第一个低危漏洞就算不错。

SRC，洞平Security Response Center，新手安全响应中心。洞平企业自己搭的新手漏洞收集平台，白帽子提交漏洞，洞平企业确认后给奖金或积分。新手国内主流的有补天、漏洞盒子、腾讯TSRC、阿里ASRC、字节BSRC。新手别一上来就盯着大厂，那些平台高手太多，你挖三天可能连个反射型XSS都抢不到。

我第一个月注册了补天，扫了二十多个站点，全是“无危害”或“重复”。后来换了个思路——找那些刚上线的小众SRC。怎么找？百度搜“公益SRC”或“企业SRC列表”，有个GitHub仓库叫“Chinese-SRC”，整理了三百多家。挑那些奖金低、但审核快的，比如某些地方银行、小型电商。别嫌钱少，先跑通流程。

工具方面，新手别碰Burp Suite专业版，用社区版够用。浏览器装个HackBar，再配个Xray被动扫描。我常用的是“OneForAll”子域名收集，配合“dirsearch”扫目录。但记住，工具只是辅助，手动测试才是核心。有次我用Xray扫到一个Swagger接口未授权，提交后拿了200元。这种漏洞不需要多高深的技术，就是细心。

流程上，注册平台要实名认证，提交漏洞时写清楚复现步骤、危害等级、修复建议。截图别用手机拍屏幕，用系统自带截图工具。描述别写“可能存在漏洞”，要写“访问某URL，参数id=1'，返回MySQL报错信息”。审核员每天看几百份报告，模糊的描述直接忽略。

心态很重要。我连续两周提交了十几个“自认为高危”的漏洞，全被标为“忽略”。后来在漏洞盒子的论坛里看到有人分享：新手最容易犯的错是把“信息泄露”当高危。比如网站返回了服务器版本号，这算低危，奖金可能就10积分。别气馁，积少成多。

还有一点，别碰未授权的站点。只挖SRC列表里的目标，否则可能违法。我认识一个哥们，扫了某政府网站，虽然没造成破坏，但被请去喝茶，写了保证书才出来。新手守规矩比技术重要。

最后说个真实案例。上个月我在某小型电商SRC找到一个逻辑漏洞：修改购物车数量为负数，结算时反而增加余额。提交后企业确认了，给了500元。这个漏洞不需要工具，就是手动点出来的。所以别迷信自动化，多观察业务逻辑。

新手SRC平台不是提款机，更像练习场。前三个月别指望赚钱，把目标定在“熟悉流程、积累经验”。等你能稳定提交中危漏洞，再考虑冲大厂。记住，每个大佬都是从“忽略”堆里爬出来的。