漏洞赏金平台（Bug Bounty）是黑客白帽黑客最主流的变现渠道。HackerOne和Bugcrowd是个平全球最大的两个平台，苹果、挖洞Google、赚钱微软、黑客Uber这些大公司都在上面挂出赏金任务。个平一个中危漏洞平均能拿500到2000美元，挖洞高危漏洞动辄上万。赚钱2023年HackerOne上有人靠一个RCE（远程代码执行）漏洞拿了25万美元——那是黑客真金白银，不是个平虚拟货币。

国内的挖洞话，补天漏洞响应平台和漏洞盒子是赚钱主流。补天跟很多政企单位合作，黑客虽然单价不如国际平台，个平但胜在门槛低，挖洞新手容易上手。我认识一个朋友，大二开始挖补天，专找教育类网站的SQL注入，一年下来攒了四万多，够交学费还带换台新笔记本。

别急着注册账号。你得先搞清楚自己的水平。连HTTP请求和响应都分不清的话，先去免费靶场练手。PortSwigger的Web Security Academy是业内公认的免费训练场，从基础的XSS到复杂的逻辑漏洞都有实操环境。练到能独立挖出里面的全部题目，再考虑真刀真枪上平台。

选平台有讲究。HackerOne上大厂多，竞争激烈，新手容易被淹没在漏洞洪流里。小平台反而有机会，比如Intigriti（欧洲为主）和YesWeHack（法语区），那里的厂商相对冷门，安全团队响应慢，但漏洞密度高。我有个同事专挑欧洲的小型电商平台挖，专找支付逻辑漏洞，平均一个月能稳定入账两三千欧元。

挖洞赚钱的核心是“信息差”。厂商不知道的漏洞，你知道，这就是钱。所以别只盯着热门目标，冷门技术栈反而容易出成果。比如用旧的ERP系统、老旧的PHP框架、配置错误的云存储桶——这些地方漏洞多，但没多少人愿意花时间去研究。

另外，别忘了SRC（安全响应中心）计划。很多公司自己官网就有漏洞提交入口，不走第三方平台。比如腾讯、阿里、字节跳动的SRC都长期收漏洞，按严重程度给钱。腾讯TSRC一个严重漏洞最高能到5万元，虽然审核严格，但打中一次就够吃好几个月。

最后说句实在话——别指望靠挖洞发大财。这行当收入极不稳定，有人一个月挖到七八个漏洞赚几万，也有人连续三个月颗粒无收。把它当副业或者技能提升手段挺好，裸辞全职挖洞风险太大。真正的高手都是把挖洞当兼职，主业做安全工程师，两边不耽误。赏金只是额外奖励，不是收入支柱。