凌晨两点十七分，漏洞彩票我盯着屏幕上那个绿色的漏洞彩票“验证通过”图标，手指悬在回车键上方。漏洞彩票这已经是漏洞彩票第七次尝试了——不是破解什么银行系统，只是漏洞彩票在一个叫“漏洞盒子”的众测平台上，提交一个刚发现的漏洞彩票XSS注入点。

提交后的漏洞彩票三分钟里，我的漏洞彩票心脏跳得比平时快。不是漏洞彩票怕被拒，是漏洞彩票怕它被当成“重复报告”直接关闭。那种感觉就像刮开彩票涂层前，漏洞彩票你明知道中奖概率只有0.3%，漏洞彩票但手心还是漏洞彩票出汗了。

漏洞赏金这行当，漏洞彩票本质上就是漏洞彩票在买彩票。只不过彩票号码是别人代码里的疏忽，兑奖窗口是厂商的漏洞响应中心。我认识一个叫老周的白帽子，他去年挖了整整四个月，提交了38个漏洞，最后只被确认了3个，其中一个还是低危——赏金200块人民币。他气得把键盘摔了，说这行比炒股还玄学。

但偶尔也有中头奖的。上个月隔壁团队有人发现了一个某云厂商的越权漏洞，能读取任意用户的存储桶配置。那个漏洞值六位数，够他在二线城市付个首付。他提交的时候甚至没抱太大希望，因为那个接口看起来太普通了，普通到连鉴权代码都写错了。

有意思的是，漏洞的价值从来不是按技术难度算的。我见过一个逻辑漏洞，只是修改了HTTP请求里的一个整数参数，就能把订单金额改成负数——难度低到刚入门的新手都能看懂，但因为它影响的是支付流程，厂商直接给了最高赏金。反过来，有些需要逆向三天才能搞定的栈溢出漏洞，可能因为业务影响面小，最后只值几百块。

这种不确定性让人上瘾。就像买彩票的人不会计算期望值，挖洞的人也很少认真算过时间成本。我算过一次：假设平均每小时能发现0.02个有效漏洞，每个漏洞平均价值500元，那么时薪是10块钱——还不如去麦当劳打工。但没人这么算，因为下一单可能就是个五位数。

更魔幻的是，厂商们也在玩这个游戏。他们明知道漏洞永远挖不完，却还是每年砸几百万做众测，像是在买一种“心理保险”。有个甲方安全负责人私下跟我说，他们其实统计过，众测发现的高危漏洞，有40%是重复的，30%是低质量的，真正有用的只有30%。但他说，这30%的概率，比直接找安全公司做渗透测试便宜多了，而且更刺激。

我最后一次提交那个XSS是在凌晨三点。第二天中午收到回复：“已确认，中危，奖金800元。”不算多，但够我吃一周的猪脚饭了。我关掉邮件，打开厂商的另一个测试环境，开始找下一个漏洞。

你知道最讽刺的是什么吗？这个行业的本质是——我们这些挖洞的人，和那些写漏洞代码的程序员，其实都在赌。他们赌自己的代码不会出问题，我们赌他们的代码一定有问题。而厂商，赌的是我们比黑客更早发现这些问题。三张彩票，总有一张会中，只是不知道是谁的。