漏洞平台排名

HackerOne 上个月又放出了年度榜单，漏洞一个叫“test_user_42”的平台排名白帽子靠挖浏览器漏洞拿了 87 万美元奖金。这个数字本身没啥震撼力，漏洞真正有意思的平台排名是——他提交的 40% 漏洞都集中在三个平台里。这让我意识到，漏洞漏洞平台的平台排名排名，本质上不是漏洞“谁家漏洞多”，而是平台排名“谁家的漏洞值钱、谁家的漏洞响应快、谁家的平台排名规则不坑人”。

先看最直观的漏洞赏金总额。HackerOne 常年霸榜，平台排名2023 年累计发放超过 1.2 亿美元。漏洞它赢在“大厂扎堆”——Google、平台排名Meta、漏洞Uber 都在上面挂单，单个严重漏洞的赏金能到 15 万美元。但别急着下结论。Bugcrowd 紧随其后，靠的是“灵活定价”，很多初创公司愿意为 0day 掏 5 万到 8 万美元，比 HackerOne 的中位数高出一截。至于国内的补天和漏洞盒子，赏金数字看着热闹，可单个高危漏洞平均只有 3000 到 8000 元人民币，差距不是一星半点。

钱多不代表体验好。我认识一个专职挖洞的朋友，他去年在 HackerOne 上提交了一个能直接拿 shell 的漏洞，结果等了 11 天才收到确认回复。他说，“那段时间我天天刷邮件，生怕被别人抢先报了同一个洞。”响应速度排名里，Synack 做得最狠——平均 48 小时内给初步反馈，但它的门槛高得吓人，得先通过视频面试和实操考核。反观国内某平台，提交后一周没动静是常态，有次他催了客服，对方回了一句“漏洞已在排队审核”。这种体验，直接逼走了一批高水平白帽。

真正拉开差距的，是规则设计。HackerOne 的“范围外”列表写得像法律条文，连子域名的子域名都给你标清楚。Bugcrowd 则搞了个“影子赏金”模式，允许企业隐藏部分目标，只有高信誉白帽能看到。这种设计聪明吗？聪明，但也很鸡贼——它实际上把漏洞信息切成了三六九等。相比之下，国内的漏洞盒子喜欢搞“公益SRC”，很多企业连漏洞评级标准都不公开，白帽提交了才发现“低危”只值 200 元红包，连个漏洞证书都不给。

还有个容易被忽视的维度：漏洞的“二次利用率”。像 ZeroDayInitiative（ZDI）这种平台，不直接对公众开放，它只收 0day 漏洞，然后转卖给厂商或政府机构。它的排名从不公开，但安全圈都知道，ZDI 收一个浏览器沙箱逃逸漏洞的出价是 30 万美元起步。这种平台不靠流量，靠的是地下信誉——你交漏洞，它给钱，不问来源。很多顶级黑客宁可少拿钱也愿意跟 ZDI 合作，因为它的保密协议签得滴水不漏。

所以你要问我漏洞平台怎么排名，我给你的答案是：别只看赏金榜。HackerOne 适合想刷履历的新手，Bugcrowd 适合技术强但没耐心的老手，Synack 适合想长期稳定合作的人，而国内平台——除非你缺那几千块零花钱，否则不如直接去国际平台碰运气。当然，如果你手里攥着的是能打穿全世界的 0day，那 ZDI 的私密渠道才是你的菜。

最后说个反直觉的现象：排名越靠前的平台，漏洞提交的“死亡率”越高。HackerOne 上大约 35% 的提交会被标记为“重复”或“非漏洞”，而小平台的比例只有 15% 左右。原因很简单——大平台的白帽多，撞洞概率大。所以如果你技术还没到顶尖水平，找个冷门小平台反而更容易出成绩。这就像去鱼多的池塘钓鱼，鱼饵是好，但鱼早就被喂饱了。