漏洞卖钱

一个叫“补天”的漏洞卖钱漏洞平台上，某个白帽黑客提交了一个某银行App的漏洞卖钱越权漏洞，平台审核通过后，漏洞卖钱厂商确认漏洞存在，漏洞卖钱奖金直接打到他的漏洞卖钱账户——五万块。这不是漏洞卖钱黑产，是漏洞卖钱合法的“漏洞赏金”。

漏洞卖钱这事儿，漏洞卖钱早就不新鲜了。漏洞卖钱国外有HackerOne，漏洞卖钱国内有漏洞盒子、漏洞卖钱补天，漏洞卖钱厂商挂出悬赏，漏洞卖钱黑客找漏洞，漏洞卖钱提交后拿钱。漏洞卖钱一个高危漏洞，从几千到几十万不等。苹果的漏洞赏金最高能到150万美元，谷歌的Chrome漏洞也值不少钱。

但这里头有个灰色地带，很多人分不清“白帽”和“黑产”的界限。我认识一个朋友，白天是某安全公司的研究员，晚上就泡在漏洞平台上接单。他说，真正赚钱的不是那些公开的众测项目，而是厂商私下找上门来的“定向单”。某头部互联网公司曾私下悬赏一个能打穿他们云平台的特权提升漏洞，开价80万。这种单子，通常不公开，全靠圈子里的口碑和人脉。

为什么漏洞这么值钱？因为一个0day漏洞在黑市上的价格，比正经赏金高十倍不止。一个能远程控制安卓手机的漏洞，黑市收购价可能到几百万。厂商愿意花几十万买漏洞，是因为如果被黑产先发现，损失可能是几千万甚至上亿。所以，赏金本质上是“防御性购买”——花钱买时间，买安全。

不过，漏洞卖钱这事儿，也有尴尬的一面。有些厂商收了漏洞报告，却拖着不给钱，或者只给几百块“意思一下”。有个白帽黑客吐槽过，他提交了一个能拿到全站用户数据的严重漏洞，厂商只回了句“已修复”，然后就没下文了。他气得把漏洞细节公开，结果被厂商起诉“泄露商业机密”。你看，规则是人家定的，你只是“赏金猎人”，不是“合作伙伴”。

更微妙的是，有些漏洞其实是“厂商自己人”放出来的。某安全公司前员工跟我说过，他们内部有个不成文的规矩：测试环境的安全漏洞，故意不修，等外部白帽提交，然后走赏金流程，这样既能显得公司“重视安全”，又能给安全团队“创收”。听起来离谱，但在一些大厂里，这不算秘密。

说到底，漏洞卖钱是把双刃剑。它让一批技术极客能靠本事吃饭，不用去搞黑产，这是好事。但赏金体系的不透明、厂商的随意定价、以及漏洞披露后可能被恶意利用的风险，都让这个市场显得有点“野生”。

如果你也想靠这个赚钱，别急着注册平台。先想清楚：你是为了钱，还是为了名？为了钱，得接受平台抽成和厂商压价；为了名，那些顶级漏洞赏金排行榜上的名字，确实能让你在圈子里横着走。但别忘了，技术这碗饭，吃的是脑子，也是良心。有些漏洞，交出去是赏金，攥在手里就是手铐。