漏洞打赏

去年十月，漏洞打赏我收到一笔三百块的漏洞打赏转账，备注写着“漏洞打赏”。漏洞打赏转钱的漏洞打赏人我不认识，ID叫“老白”，漏洞打赏头像是漏洞打赏一只橘猫。他说我提交的漏洞打赏那个越权漏洞帮他公司避免了至少六位数的损失，这点钱是漏洞打赏心意。我当时盯着手机屏幕愣了几秒——做安全这行八年，漏洞打赏头一回遇到主动打赏的漏洞打赏。

这事得从两个月前说起。漏洞打赏那天凌晨两点，漏洞打赏我还在翻某电商平台的漏洞打赏API文档，想看看有没有逻辑漏洞。漏洞打赏翻到“订单分享”功能时，漏洞打赏发现一个参数叫share_id，传的是用户ID的Base64编码。随手改成另一个数字再编码，居然直接看到了别人的订单详情——收货地址、电话、买了什么，全在。更离谱的是，这个接口没有频率限制，写个脚本就能从1遍历到几百万。

我截了图，写了份报告，通过平台SRC提交。三天后收到回复：“已确认，中危，奖励200元。”说实话，200块连我买咖啡熬夜的钱都不够。但这种事习惯了，国内SRC的定价一直是个玄学。有些厂商觉得你提漏洞是应该的，能给钱就不错了。

老白不是通过SRC找到我的。他在一个安全论坛看到我发的技术分析帖，顺着帖子里的GitHub账号摸到了我的邮箱。他说他们公司也用类似的分享架构，开发团队一直没意识到这个问题。“你那个帖子救了我们，不然等黑产扫到，用户数据全得裸奔。”他原话。

三百块不多，但那种被认可的感觉很怪。像你随手在路边扶了棵歪树，过两天有人专门跑来跟你说，那树底下埋着他家祖传的罐子。

我后来问老白，为什么不走官方渠道。他说走过了，厂商说“低危，忽略”。他气不过，自己掏钱打赏。“官方不给，我给。不能让白帽子白干活。”

这事让我想起2019年另一个案例。某短视频平台的评论接口存在SQL注入，我提了，厂商回复“感谢反馈”，然后没了下文。两个月后，数据库被拖，新闻报了，厂商发公告说“遭受外部攻击”。我当时把之前的提交记录截图发在朋友圈，配文：“早干嘛去了？”底下有个同行评论：“你至少还提交了，我连提交入口都找不到。”

漏洞打赏这件事，本质上不是钱的问题。是态度。厂商觉得安全是成本，白帽子觉得安全是责任。两边不对等，就会出问题。老白这种用户自发的打赏，反而比很多SRC的“官方奖励”更有人情味。他知道你付出了什么，也知道这东西值多少。

当然，我不是鼓励大家都去私下收钱。有些漏洞涉及敏感数据，私下交易容易踩线。但老白这种，纯粹是感谢性质，金额也不大，我觉得没什么问题。总比那些拿了漏洞转头就卖给黑产的人强。

前几天又收到一笔打赏，五十块，备注“咖啡钱”。是个学生，说我写的SSRF利用技巧帮他过了面试。我拿这钱买了杯美式，坐在窗边喝的时候想，这行干久了，有时候支撑你继续挖下去的不是那点奖金，是这些零零碎碎的、来自陌生人的“我懂你”。

漏洞会一直有，打赏不会常有。但只要有一个人愿意为你的发现买单，哪怕只是杯咖啡，这事就还值得干。