挖漏洞一个月能赚多少钱

上个月有个朋友问我，挖漏说看了些帖子，赚多觉得挖漏洞能月入十万，少钱问我是挖漏不是真的。我当时正啃着凉透了的赚多煎饼，差点噎住。少钱

真实情况是挖漏，挖漏洞的赚多收入曲线比过山车还刺激。我认识的少钱一个白帽子，上个月一个高危漏洞交了报告，挖漏厂商直接打了五万过来。赚多但同一个人，少钱前三个月颗粒无收，挖漏全靠接私活写代码撑着房租。赚多这事没法给你个平均数，少钱因为中位数和平均数差距大到离谱。

漏洞赏金平台像HackerOne或者补天，上面挂着几十万个目标。但你看到的那些大额赏金，基本都被头部玩家收割了。我见过一个老哥，专门盯着某大厂新上线的功能模块，通宵逆向，一个周末挖出三个逻辑漏洞，拿了八万。也见过刚入门的小伙子，天天拿扫描器乱扫，扫了半年，最多就捡到几个低危信息泄露，单个赏金五十块，还不够电费。

这里头有个残酷的规律：收入和你对系统底层原理的理解深度成正比。只会用现成工具的人，挖到的是别人筛过的残羹冷炙。真正赚钱的，是那些能读懂厂商代码逻辑，甚至能从业务流里找出设计缺陷的人。比如支付环节的金额篡改、越权访问，这类漏洞单个赏金通常几千到几万不等，但前提是你得懂点开发，知道参数传递的猫腻。

我自己试过一个月，全职挖。早九晚六，泡在漏洞报告和源码审计里。头两周连个中危都没见着，心态差点崩了。后来转变思路，专挑那些更新频繁的Web应用下手，因为新功能往往疏于防护。第三周找到个SQL注入点，厂商确认后给了两千。月底总结，那个月总共收入四千七，还不如我写两天技术文档的稿费。

但有个做安全研究的朋友不一样，他不追厂商的赏金计划，专门挖开源软件的漏洞。挖到了直接卖给漏洞经纪商，或者提交给CNVD拿积分。去年他挖到个知名框架的反序列化漏洞，一个漏洞卖了六位数。不过这种机会可遇不可求，他为了那个漏洞，啃了四个月的源码，头发都白了半边。

说到底，挖漏洞的收入分三档。底层的，月入几百到两三千，属于捡漏型，靠自动化工具和运气。中层的，技术扎实，月入一万到三万，这部分人占多数，他们懂得挑目标，知道哪些厂商赏金高、响应快。顶层的，月入十万以上，要么是发现了0day，要么是持续深耕某个垂直领域，比如车联网、区块链，竞争小，赏金池深。

我得提醒你，这行收入极不稳定。上个月我认识的一个白帽子，连着交了三份报告，都是同一个厂商的，结果厂商以“重复提交”为由拒了两份，只给了一份的钱。他气得在群里骂了半小时。还有的平台，报告提交后审核周期拖到两个月，急用钱的时候根本指望不上。

所以你要真问一个月能赚多少，我只能说：看人，看技术，看运气，更看你能不能忍受长时间没有回报的日子。如果你有稳定的工作，把挖漏洞当副业，每个月多个三五千零花，概率还是很大的。想全职干，先攒够半年生活费再说。不然漏洞没挖到，房租先把你挖空了。