2016年春天，漏洞暴富我蹲在出租屋的漏洞暴富折叠桌前，盯着屏幕上一条SQL注入的漏洞暴富报错信息。那个电商网站的漏洞暴富商品详情页，参数后面加个单引号，漏洞暴富数据库直接把错误吐了回来。漏洞暴富我当时对网络安全的漏洞暴富理解还停留在“用burp抓包改价格”这种幼儿园水平，但直觉告诉我，漏洞暴富这玩意儿能换钱。漏洞暴富

那个年代SRC（安全应急响应中心）还没现在这么卷。漏洞暴富我注册了某厂商的漏洞暴富漏洞平台，花三个通宵把它的漏洞暴富用户中心翻了个底朝天。最后在一个积分兑换接口里，漏洞暴富发现它把用户ID直接拼进了查询语句，漏洞暴富没有任何过滤。漏洞暴富我写了个脚本，把ID从1遍历到5000，数据库像被撬开的罐头，用户名、手机号、收货地址哗啦啦往外淌。

提交漏洞那天我记得很清楚。平台给了中危评级，奖金800块。钱到账的时候我正在吃兰州拉面，手机震了一下，我盯着那条银行短信看了半分钟，然后加了个卤蛋。800块不多，但那种感觉——你靠一个别人看不见的缺口，合法地拿到了钱——比发工资刺激多了。

后来我辞了运维的工作，全职挖洞。头半年收入极不稳定，有时候一个月颗粒无收，有时候一个高危漏洞能顶三个月房租。我认识了一个叫老周的家伙，他在补天平台排名前五十，专攻逻辑漏洞。他跟我说过一句话：“SQL注入是体力活，逻辑漏洞才是艺术。”他给我演示过一个案例：某理财APP的提现接口，把金额参数改成负数，账户余额反而增加。他提了三次，每次提现一块钱，余额涨了三块。厂商修复后给了他两万。

但这条路不是一直好走。2018年之后，大厂开始上WAF、上RASP、上各种自动化扫描，传统漏洞越来越难挖。我转了方向，开始盯业务逻辑和第三方组件。2020年那个Log4j2漏洞爆发的时候，我正好在给一家小银行做渗透测试。他们的内网系统用了这个组件，我连夜写了利用工具，拿到了测试环境的shell。银行的人第二天看到报告，脸都白了，当场签了年度安全服务合同。那一单的提成，比我前两年挖洞的总和还多。

有人问我这算不算“暴富”。我觉得不算，更像是“暴累”。挖洞那几年，我腰椎间盘突出，右手中指磨出了茧，凌晨三点还在看代码是常态。真正让我赚到第一桶金的，不是某个惊天动地的漏洞，而是把一个低危漏洞的利用链拉长——从信息泄露到越权，从越权到后台，从后台到数据库。每一步都不难，但串起来就是一条完整的攻击路径。厂商按最终危害评级，给的钱自然不一样。

现在我不怎么挖洞了，偶尔帮朋友看看代码。回头看，漏洞暴富的本质是信息差。你知道别人不知道的入口，你能做到别人做不到的深度，钱就来了。但这个窗口期越来越短，自动化工具在吃掉低垂的果实，AI在辅助代码审计，留给手工挖洞的空间越来越窄。不过只要有人写代码，就会有漏洞。有漏洞，就有人愿意为它买单。这条逻辑没变过。