找漏洞赚钱

漏洞赏金计划（Bug Bounty）不是找漏新鲜事，但真正靠它吃饭的洞赚人，往往不写代码。找漏我认识一个朋友，洞赚白天在便利店收银，找漏晚上专挑国内中小电商平台的洞赚支付接口下手。他不懂SQL注入，找漏也不会挖内存漏洞，洞赚就盯着一件事：订单金额能不能被改成负数。找漏去年他靠这个“笨办法”提交了四十多个漏洞，洞赚赚了六万多块。找漏平台气的洞赚跳脚，但规则写明“任意金额篡改”算高危，找漏只能乖乖打钱。洞赚 这行当的找漏门槛低到让人意外。你不需要懂汇编语言，甚至不需要会Python。漏洞的本质是逻辑漏洞，而逻辑漏洞往往藏在业务流程的夹缝里。比如“找回密码”功能，很多网站验证短信验证码时，只校验前四位是否正确——你填0000，它也能过。再比如“优惠券叠加”规则，有些平台允许新客券和满减券同时使用，但没限制使用次数。我见过最离谱的一个，是某外卖平台把“取消订单”和“退款”分成两个独立请求，只要中间卡一下时间差，就能白吃一顿饭还能拿全额退款。 真正赚钱的漏洞，从来不是什么高深技术，而是商家对“正常人不会这么干”的侥幸心理。你以为用户会老老实实填收货地址？有人专门在地址栏塞XSS脚本，等着客服后台点开就中招。你以为支付成功页只是展示信息？有人把金额参数改成0.01，然后疯狂点击“返回修改订单”，利用并发请求让服务器来不及校验。这些操作不需要写工具，浏览器自带的开发者工具就够了。 当然，这条路也不是捡钱。平台审核漏洞报告的平均周期是两周到一个月，期间你得忍受“忽略”“重复”这种冰冷回复。更气人的是，有些企业压根不打算给钱——他们挂着“漏洞赏金”的招牌，实际把报告收下后悄悄修复，然后装死。我吃过一次这种亏，给某家做智能硬件的公司提交了设备绑定逻辑漏洞，对方回了一封“感谢反馈”，然后就没有然后了。后来我才知道，这种“白嫖”在圈子里叫“洗报告”，专门坑新手。 那真正靠谱的玩法是什么？盯准那些刚完成融资、急着上线的创业公司。他们的安全团队往往只有一两个人，甚至外包给第三方。业务迭代越快，漏洞就越多。我有个固定套路：等他们发布新版本后的48小时内去测，因为这时候后端接口往往还没加鉴权。上个月某家做宠物社交的APP，新上线的“附近的人”功能直接把用户手机号明文返回了，我提交后对方当天就打了钱——五千块，够我交三个月房租。 这活儿干久了，你会对互联网产生一种奇特的悲观。原来这么多所谓的“高科技”，背后全是筛子。但换个角度想，漏洞赏金本质上是种“技术破窗理论”——你帮企业提前砸碎那扇窗，总比被黑产砸了强。只不过，砸窗的人得自己带着锤子，还得眼疾手快，赶在别人砸之前动手。