漏洞众测

凌晨两点，漏洞众测某SRC平台蹦出一条新提交。漏洞众测提交者是漏洞众测个ID叫“夜风”的白帽子，漏洞描述只有三行：某政务系统存在越权，漏洞众测可查看任意身份证号。漏洞众测附件里躺着完整的漏洞众测复现步骤，连截图都懒得裁边。漏洞众测审核员打了个哈欠，漏洞众测点开测试账号试了试——真就一串HTTP请求改个ID参数的漏洞众测事。这个漏洞最终给了8.5分，漏洞众测奖金四千块。漏洞众测

漏洞众测就是漏洞众测这么个行当。厂商把系统晾在靶场上，漏洞众测悬赏挂出来，漏洞众测一群黑客就像闻到血腥味的漏洞众测鲨鱼围上来。有人白天是程序员，晚上变漏洞猎人；有人专挑边缘业务下手，因为主站防护太硬，第三方插件却脆得像苏打饼干。我认识个老哥，专盯某银行的积分商城，两年挖了十来个洞，靠奖金换了台顶配MacBook。他说这活儿比写业务代码有意思多了——代码是造楼，挖洞是找承重墙的裂缝，一撬一个准。

平台规则也糙得很。有的厂商给钱痛快，漏洞确认后三天打款；有的则装死，拖到项目结束自动关闭，白帽子颗粒无收。更操蛋的是撞洞——两个人同时发现同一个漏洞，平台只认第一个提交的，另一个只能自认手速慢。我见过最离谱的一次，某大厂上线新App，开测十分钟就被薅出个高危，结果提交者是个刚注册三天的新手，连漏洞报告格式都是照着模板抄的。

这行当里也分三六九等。顶尖那批人早就不靠平台赏金吃饭了，他们写工具、卖课程、给企业做众测培训，一次出场费顶得上别人挖半年洞。中层白帽子最苦，天天盯着Burp Suite的扫描结果发呆，偶尔撞大运挖到个SQL注入，还得提心吊胆怕厂商反手告你“越权测试”。法律边界模糊得很——你说你是好心测漏洞，厂商咬定你是非法入侵，警察叔叔可不管你是不是白帽子。

有个案例我一直忘不掉。某医疗APP众测，有个白帽子发现患者的化验单能通过修改URL参数任意查看，他连夜写了报告提交，结果厂商第二天就修复了，连句谢谢都没说。一个月后漏洞被黑产利用，泄露了上万条病历，厂商倒打一耙，说白帽子“测试过程中可能泄露数据”。那哥们气得把漏洞详情发到朋友圈，配文：“下次直接卖数据，还能赚个零花钱。”这话是气话，但听着心酸。

众测的坑远不止这些。有的平台抽成狠，奖金两万到手只剩一万四；有的厂商故意把漏洞定级调低，高危变中危，奖金缩水三分之二；还有的测试范围写得含糊，你测了关联系统，人家说你“超范围测试”，扣分封号。白帽子们私下建群吐槽，说这行当越来越像外包——干最脏的活，背最重的锅，拿最少的钱。

但骂归骂，真有人退出吗？很少。那种在千万行代码里揪出致命漏洞的快感，那种收到厂商感谢信时的虚荣心，那种“我比甲方安全团队强”的暗爽，比奖金更让人上瘾。夜风后来跟我说，他提交那个越权漏洞时，其实已经连续翻了三天代码，眼睛都快瞎了。“但看到审核通过的那一瞬间，觉得值了。”他顿了顿，“就像打游戏通关，还是地狱难度那种。”

漏洞众测的规则就是这么野：高回报、高风险、低保障。有人把它当副业，有人当职业，但没人真把它当铁饭碗。系统在变，漏洞在变，赏金在变，唯一不变的是那帮人盯着屏幕的眼神——像猎豹，也像赌徒。