漏洞赏金平台

凌晨两点，漏洞HackerOne上一个叫“rz01”的赏金家伙提交了一份报告，说某家知名社交平台的平台图片处理接口存在SSRF漏洞。三小时后，漏洞平台确认了。赏金两周后，平台他拿到了1.2万美元奖金。漏洞这不是赏金电影情节，是平台漏洞赏金平台的日常。

漏洞赏金平台说白了就是漏洞一个撮合买卖的地方。一边是赏金手里攥着产品代码的公司，另一边是平台整天琢磨怎么把系统搞崩的安全研究员。公司说：你来找我的漏洞漏洞，找到了我给钱。赏金研究员说：行，平台我试试。平台在中间抽成、仲裁、管钱。

但这事没那么简单。我认识一个做渗透测试的朋友，他在Bugcrowd上专挑金融类项目。他跟我讲过一个细节：很多公司挂在平台上的项目，范围写得含糊不清。“核心业务系统”算不算测试范围？他曾经因为测了一个边缘子域名被判定为“超出范围”，白干三天。后来他学乖了，只接那些资产列表写得明明白白的项目。

平台之间的风格差异也很大。HackerOne更像一个高端猎头市场，项目审核严，赏金给得大方，但门槛高，新手很难挤进去。Bugcrowd相对亲民一些，项目多、类型杂，偶尔能捡到漏。至于国内的漏洞盒子、补天，玩法又不一样——很多项目给的是积分而非现金，积分能换礼品，但换不了房租。这导致国内平台上的研究员更倾向于“交个朋友”，而不是死磕一个漏洞。

赏金定价是个玄学。同一个漏洞，在A公司值5000美元，在B公司可能只值200美元。有个做安全的朋友跟我吐槽过：他给一家创业公司报了一个高危SQL注入，对方回复“感谢反馈，我们奖励你一件文化衫”。他气得把文化衫挂闲鱼上卖了50块。当然也有大方的，苹果、谷歌这些巨头，一个能稳定复现的远程代码执行漏洞，奖金能到六位数。但问题是，你得先找到。

平台上的竞争已经卷到离谱。一个热门项目刚上线，五分钟内就能涌进几十份报告。有人用自动化扫描工具批量提交，虽然大部分是误报，但架不住量大。真正的手工测试者反而容易被淹没。HackerOne后来搞了个“信号值”机制，用来衡量研究员提交报告的质量，信号高的优先处理。这招挺管用，但也让新人更难出头。

法律风险是另一个绕不开的坑。不同国家对“未授权访问”的界定天差地别。在美国，只要平台授权了，你按规则测试基本没事。但在某些地区，哪怕你只是扫了一下端口，都可能踩线。有个德国研究员在推特上说过，他接项目之前会先查该公司所在国的网络安全法，不确定的直接跳过。宁可少赚，别进去。

平台本身也在变。HackerOne去年推出了“AI辅助分类”，用模型先筛一遍报告，把明显误报的过滤掉。效果嘛，研究员们褒贬不一。有人觉得省时间，有人担心模型把真正巧妙的漏洞也误杀了。Bugcrowd则往“攻击面管理”方向靠，不光收漏洞，还帮企业梳理资产暴露面。说白了，光靠赏金抽成，天花板不高，得往上游走。

我个人的判断是，漏洞赏金平台不会消失，但会分化。头部的平台越来越像安全服务的入口，小平台要么被吞并，要么转型做垂直领域——比如专门盯IoT设备，或者只做智能合约审计。至于研究员这边，纯靠赏金吃饭的人永远是少数。大部分人白天有正职，晚上打开电脑，泡杯茶，看看有没有新项目上线。找到了，赚顿火锅钱；找不到，关灯睡觉。

就这么回事。