漏洞猎人

凌晨三点，漏洞猎人李明盯着屏幕上跳动的漏洞猎人数据包，突然笑了。漏洞猎人一个参数校验的漏洞猎人疏漏，让他拿到了某政务系统的漏洞猎人后台权限。他没动任何数据，漏洞猎人截了张图，漏洞猎人退出，漏洞猎人然后给厂商发了封邮件。漏洞猎人三天后，漏洞猎人他收到五千块赏金和一句“感谢”。漏洞猎人这钱不多，漏洞猎人但那种“我发现了别人没发现的漏洞猎人东西”的快感，比钱带劲。漏洞猎人

漏洞猎人这行，漏洞猎人外人听着像黑客，其实差别大了。黑客搞破坏或者偷数据，猎人找漏洞然后上报，拿钱走人。合法，但灰色地带不少。有些厂商嘴上说欢迎白帽，真被提交漏洞时，第一反应是报警。李明就遇到过，提交完漏洞，对方客服直接说“我们已经记录你的IP”。他当时就乐了，你记录呗，我用的代理。

这行门槛不算高，但天花板极高。会点Python，懂HTTP协议，能看懂JavaScript，就能开始挖一些简单漏洞。比如某网站登录框没做频率限制，你写个脚本跑一万个密码，跑出来了，这就是漏洞。但值钱吗？不值。厂商可能觉得这算个事，也可能觉得你瞎搞。真正值钱的漏洞，是那种逻辑上的缺陷，比如支付时把金额改成负数，或者越权查看别人的订单。这种漏洞挖起来靠的不是工具，是脑子。

我认识一个哥们，专门挖车企的漏洞。有次他发现某品牌App的API没做权限校验，只要改一下用户ID，就能远程解锁别人的车。他试了自己的车，成功。又试了同事的车，也成功。然后他停了，没继续。他把漏洞报给厂商，厂商一开始不信，他就录了个视频，用自己的账号解锁了另一辆车。厂商当天就修了，给了他一万五。他说，其实还能做得更过分，比如启动引擎，但他不敢，怕真出事。

挖漏洞这事，运气占三成，耐心占七成。有时候你盯着一个网站看三天，什么也找不到。有时候你上厕所刷手机，突然觉得某个参数不对劲，回去一试，成了。李明说他最长的一次，连续挖了两个月没收获，差点放弃。结果第三个月第一天，一个SQL注入漏洞让他赚了八千。他说这行就这样，你得习惯空手而归，但不能习惯放弃。

工具很重要，但别迷信工具。Burp Suite、sqlmap、nmap，这些是基本装备。可真正的好漏洞，往往不是工具扫出来的。工具只能告诉你“这里可能有问题”，但“问题到底能不能利用”“怎么利用”，得你自己想。有次我用sqlmap扫一个站，扫了半天没结果。后来手动试了试，发现它把参数里的单引号过滤了，但没过滤双引号。改一下payload，直接进后台。工具是死的，人是活的。

这行还有个怪现象：很多人挖到漏洞后，第一反应不是上报，是炫耀。截图发群里，发论坛，甚至发朋友圈。结果厂商还没修，漏洞就被其他人利用了。李明说这种人他见多了，最后要么被封号，要么被厂商拉黑。真正专业的猎人，挖到漏洞第一件事是复现，第二件事是写报告，第三件事是等厂商修完再考虑要不要公开。公开也有讲究，得等厂商修完，或者过了90天披露期。不然你就是帮凶。

收入方面，别信那些“月入十万”的鬼话。大部分猎人一个月能赚个三五千就不错了。头部猎人确实能赚很多，但那是极少数。更多的人是兼职，白天上班，晚上挖洞。李明说他去年靠挖洞赚了六万多，但那是他每天晚上熬到一两点的结果。颈椎病、干眼症，一个没落下。他说这行不是不能干，但你得想清楚，你是真喜欢找漏洞，还是只喜欢钱。只喜欢钱的话，干不长。

最后说个事。有次李明挖到一个教育平台的漏洞，能看所有学生的身份证号和家庭住址。他没上报，直接删了。我问他为什么，他说那平台一看就是小公司做的，报过去他们可能连修都不会修，反而可能把数据卖了。他不想冒这个险。有时候，不挖也是一种选择。漏洞猎人这名字听着酷，但背后是责任。你手里握着别人的数据，你得知道什么该碰，什么不该碰。