去年有个朋友，挖漏白天在国企写代码，洞赚晚上回家就靠挖漏洞赚外快。挖漏他说得直白：“正经上班一年攒不下十万，洞赚但去年挖洞光奖金就拿了二十多万。挖漏”这话听着刺耳，洞赚但确实是挖漏现实。

挖漏洞怎么赚钱？洞赚核心就三条路：交官方赏金、卖漏洞给中介平台、挖漏或者直接上暗网找买家。洞赚前两条合法合规，挖漏第三条踩红线，洞赚碰了可能进局子。挖漏我劝你只走前两条。洞赚

赏金猎人这行当，挖漏跟打游戏刷副本差不多。你发现某大厂的系统有个SQL注入漏洞，写个报告提交到他们的安全响应中心，审核通过后，钱直接打你卡上。腾讯、阿里、字节这些公司都设有专项奖金，单个高危漏洞能拿五千到五万不等。要是撞上那种能直接拖库的严重漏洞，十万以上也不是没可能。

但别以为这钱好挣。我认识一个搞了三年漏洞挖掘的老哥，他跟我说：“真正的门槛不是技术，是耐心。你得像个变态一样，反复琢磨同一个功能点，测试各种畸形输入，有时候一蹲就是一下午。”他上个月在某电商平台发现了一个越权漏洞，能让普通用户查看他人订单信息，光是测试就花了四天，最后提交时还提心吊胆，生怕被判定为无效。

平台方也不是傻子。你报上去的漏洞，他们会先自己复现一遍，确认危害等级，然后给你定价。这里头有博弈——你觉得值五万，他们可能只给两万。嫌少？行，你可以不卖，但漏洞一旦公开，你就一分钱拿不到。所以多数人选择认栽，毕竟蚊子腿也是肉。

中介平台是另一条路。像补天、漏洞盒子这类网站，会收集中小企业的漏洞，然后打包卖给对应的公司。你不直接跟企业打交道，平台抽成百分之二十到三十。好处是流程标准化，坏处是单价被压得厉害。一个在厂商那里能卖两万的漏洞，在平台上可能只值八千。

有人会问：那为什么不直接找企业私下谈？可以，但风险极高。一是对方可能白嫖你的报告，然后自己修复，不给你一分钱；二是涉及法律风险——你没授权就测试，本身就是灰色地带。正规的玩法是通过SRC（安全响应中心）提交，至少留个记录。

技术门槛其实没你想的那么高。Web漏洞主要就那几类：SQL注入、XSS、CSRF、文件上传。你花三个月把OWASP Top 10吃透，再学点Burp Suite的使用技巧，基本就能开始捡漏了。真正难的是持续学习——现在厂商都上了WAF，传统招数不好使了，得研究逻辑漏洞、业务漏洞，这些更考验脑洞。

说个真实案例。有个大学生，发现某校园APP的密码找回功能存在逻辑缺陷——只要改一下响应包里的状态码，就能直接重置任意账号的密码。他提交给厂商，对方奖励了他一万五。他后来跟我说：“其实技术含量很低，就是用Burp拦截响应，改一个数字的事。但没人想到去测那个接口。”

最后提醒一句：这行当拼的是信息差和执行力。你看到的大厂SRC榜单上那些月入十万的大神，背后是每天十几个小时的测试和积累。想靠这个暴富？不如去买彩票。但作为副业，一年赚个几万块零花钱，确实有可能。关键在于，你得先动起来——找个测试靶场练手，去SRC上看看别人提交的漏洞报告，模仿着分析。挖到第一个漏洞后，后面的路就顺了。