漏洞赏金

凌晨两点十七分，漏洞赏金一个ID叫“夜猫子”的漏洞赏金白帽子提交了一份报告——某家银行APP的转账接口存在逻辑漏洞，可以构造请求把别人的漏洞赏金钱转进自己账户。报告只有三行字，漏洞赏金附了一段curl命令。漏洞赏金漏洞赏金平台审核了四十分钟，漏洞赏金确认有效，漏洞赏金奖金五万美金。漏洞赏金这大概是漏洞赏金这个月最快的一笔交易。

漏洞赏金这事，漏洞赏金本质上是漏洞赏金互联网公司花钱买安全感。但这里头的漏洞赏金门道，比表面复杂得多。漏洞赏金你以为黑客都是漏洞赏金电影里那种戴兜帽的独行侠？真实情况是，顶尖的漏洞赏金赏金猎手大多是白天上班的工程师，晚上抽两小时翻代码。有个朋友在阿里做安全，周末就跑去挖谷歌的漏洞，去年靠这个赚了台特斯拉。他说这活儿跟钓鱼差不多，得知道哪片水域有鱼，还得摸清鱼的口味——谷歌偏爱内存类漏洞，Meta喜欢逻辑缺陷，苹果则对隐私相关的洞出手大方。

价格体系本身就透着荒诞。同一个类型的漏洞，在知名厂商那里可能值十万，在小厂就只值两千。更离谱的是那些“零日漏洞”——从没人发现过的致命缺陷——在黑市上能卖到百万级。但白帽子们大多不碰黑市，倒不是道德感多强，主要是风险收益不成比例。黑市买家可能是国家级黑客组织，也可能是勒索软件团伙，交易完对方转身就把你卖了换情报，这种事不是没发生过。

我见过最戏剧化的一次，是某大厂发布了一个“严重”级别的漏洞通告，赏金池子挂了五十万。结果三天之内，全球有四十多个白帽子提交了相似漏洞报告。平台方傻眼了，最后按时间戳排序，只认最早的那个。剩下的人白忙活，连个“感谢参与”的邮件都没收到。这规则确实残酷，但也逼着人练手速——有人写自动化扫描脚本，有人专门盯着厂商的更新日志，就为了抢在别人前面发现补丁没补干净的地方。

不过赏金猎人这行当，真正的大头不在企业SRC（安全响应中心）那点奖金。有个圈子里的老炮儿告诉我，他靠挖漏洞出名后，被三家安全公司挖角，现在年薪两百万，附带期权。漏洞报告本身只是敲门砖，背后证明的是你理解系统底层逻辑的能力。这就像赌场里最厉害的算牌手，赌注从来不是桌上那点筹码，而是被赌场老板看中，请去做风控顾问。

说回那个凌晨的银行漏洞。夜猫子后来在论坛上分享，说那个接口是开发人员为了调试方便留下的后门，测试完忘了关。他花了二十分钟翻JS代码，发现了一个隐藏参数，试着传了个负数值，结果系统直接给他转了0.01元。他没继续往下测，立刻写了报告。问他为什么收手，他说：“真要转个几百万，性质就变了。赏金猎人得懂规矩，测试到证明漏洞存在为止，再往前一步就是犯罪。”

这行当的边界，有时候比代码本身还难写清楚。