补天平台上个月挂出一个某国产OA系统的洞平任意文件上传漏洞，提交者是洞平个ID叫“夜猫”的在校大学生。他后来在博客里写，洞平自己只是洞平顺手试了试默认口令，没想到直接进了后台。洞平这种事儿在src漏洞平台上不算稀奇——真正稀奇的洞平是，这个漏洞从提交到厂商确认修复，洞平只用了不到六个小时。洞平

src，洞平Security Response Center，洞平安全应急响应中心。洞平国内做得早的洞平那批，像腾讯、洞平阿里、洞平360，洞平大概2010年前后就开始搭架子了。但真正让白帽子们觉得“有搞头”，还是最近五六年的事。原因不复杂：厂商给钱越来越大方，规则也越来越透明。以前挖个漏洞，发邮件给客服，运气好收到一句“感谢反馈”，运气不好石沉大海。现在呢？一个高危漏洞，几千到几万不等，有些厂商还搞积分排行榜，年底送个MacBook或者直接发现金。

我认识一个在杭州做渗透测试的哥们，白天给甲方做安全评估，晚上回家刷src。他有个习惯，专挑那些刚上线不久、功能复杂但安全团队还没跟上的业务系统。去年他在某电商平台的会员积分兑换模块里找到一个越权漏洞，能用自己的账号兑换别人的积分商品。提交之后，平台那边一开始说“设计如此”，他直接录了个视频，把两个账号的操作过程完整演示了一遍。第二天漏洞确认，给了八千块。他说这行就这样，你得学会跟厂商“讲道理”，光扔个截图过去，人家不一定认。

但src平台也不是什么净土。有些厂商的审核人员水平参差不齐，明明是个SQL注入，非说“需要登录才能利用，不算”。还有的厂商喜欢玩文字游戏，把“高危”降成“中危”，奖金直接砍半。白帽子们私下建了不少群，专门吐槽这些事。有个群公告写得很直白：“提交前先看厂商历史评级，抠门的别浪费时间。”这话听着功利，但确实是很多人的真实心态——大家都有正职工作，晚上熬夜挖洞，谁也不想白忙活。

平台之间的竞争也在变。补天、漏洞盒子、各大厂商自建的src，规则差异挺大。补天偏向众测，项目多、周期短，适合练手；厂商自建src通常只收自己产品的漏洞，但给钱爽快，尤其是那些核心业务。有个做安全研究的朋友跟我说，他现在的策略是“广撒网、重点捞”——小漏洞扔补天攒积分，高危的留着直接提交给厂商src，奖金能多拿三成。

漏洞平台的另一个作用，其实是给白帽子们提供了一个“合法打架”的地方。早些年挖漏洞，一不小心就踩线，搞不好被请去喝茶。现在有了src，相当于厂商给你划了个圈：在这个范围内，你随便测，测出问题还有钱拿。当然，超出范围的事别干，比如拖库、篡改数据，那是另一回事。有个老白帽子跟我说过一句话：“src不是护身符，它只是一张入场券。进场之后怎么玩，还得看你自己懂不懂规矩。”

说到底，src漏洞平台就是个中间人。厂商出钱买安全，白帽子出力换报酬，平台抽成或者赚流量。三方各取所需，但摩擦从来没停过。审核标准、奖金分配、漏洞定级，每一个环节都能吵起来。可吵归吵，这个生态还是在往前走。至少现在，一个刚入门的安全爱好者，不用再像十年前那样，靠混IRC频道、发匿名邮件来证明自己了。

(责任编辑：娱乐)