公益漏洞不在SRC平台里。公益你翻遍补天、漏洞漏洞盒子、去里HackerOne，公益找不到一个叫“公益”的漏洞标签。这东西得自己找。去里

去年我想刷点公益漏洞，公益纯粹是漏洞手痒。商业SRC打不动了，去里甲方修复速度越来越快，公益一个SQL注入从提交到修复不到四小时。漏洞公益项目不一样，去里很多机构连个像样的公益技术团队都没有，网站扔给外包做完就没人管了。漏洞我盯上了一个助学基金会，去里首页底部的版权信息还写着2016年。用Wappalyzer一扫，PHP 5.4，ThinkPHP 3.2.3。这版本2016年就停止维护了，公开EXP一抓一大把。

公益漏洞的挖掘逻辑跟商业SRC完全两回事。商业SRC你要抢时间，公益项目你要找“没人管”。判断标准很简单：网站底部有没有“技术支持”字样，有的话大概率是外包公司统一维护，漏洞修复会快一些。如果只留一个邮箱，还是Gmail的，那基本就是没人管。我见过一个环保组织的官网，后台登录页面直接是admin/admin，我犹豫了三秒要不要登进去看看。最后没登，提交了漏洞报告，三个月后收到一封邮件：“感谢您的反馈，我们已联系志愿者处理。”然后再无下文。

找公益漏洞有几个方向。政府下属的事业单位网站，尤其是区县级，很多是大学生实习时做的，代码质量堪忧。我挖过一个区图书馆的系统，借书证查询接口直接把身份证号拼在URL里，改成别人的号码就能看到姓名和借阅记录。教育类公益项目也是重灾区，在线支教平台、乡村学校官网，这些项目往往有资金做业务没资金做安全。还有公益组织的捐赠系统，涉及支付但技术投入几乎为零，我见过一个捐款页面用GET传金额参数，改成0.01元也能提交成功。

但别碰数据。这是底线。我认识一个哥们，挖公益漏洞时导出了某基金会三万条捐赠人信息，想证明危害。结果漏洞没提交，先被请去喝茶了。公益项目的数据比商业数据敏感得多，捐赠人信息、受助人档案、志愿者身份证，这些东西碰一下就是刑事。验证漏洞存在就够了，证明能读到第一行数据就停手，别往下翻。

提交渠道也是个问题。公益项目没有SRC，你发邮件给info@，大概率石沉大海。我的做法是先找CNVD，虽然CNVD响应慢，但至少有个备案。同时去微博或公众号找他们的官方账号，私信发漏洞概要，别发细节。等对方回复了再给完整报告。有个小技巧：找他们的上级主管单位。比如一个区级公益组织的网站有漏洞，你联系市文明办或者民政局的网信部门，比直接联系他们管用得多。上级单位压下来，修复速度能快十倍。

公益漏洞的回报不是钱。我挖了两年，收到过三封感谢信、一面锦旗、还有一箱苹果。锦旗挂在我书房里，苹果吃了。但那种感觉跟拿SRC奖金不一样。你帮一个乡村小学修好了报名系统，开学时三百个孩子能正常提交信息，这事儿有实感。商业SRC你修的是甲方的KPI，公益漏洞你修的是别人的日常。

想挖就去挖。搜索引擎里搜“site:.org.cn 后台登录”，或者用FOFA找“title=捐赠”。别用扫描器，动静太大。手工测，慢一点，稳一点。挖到了别炫耀，别截图发群，别碰数据。修不修是对方的事，报不报是你的事。