2023年秋天，漏洞报酬一个叫李明的漏洞报酬年轻人坐在出租屋里，盯着屏幕上的漏洞报酬GitHub页面。他刚提交了一个漏洞报告，漏洞报酬对象是漏洞报酬国内某头部电商平台。三天后，漏洞报酬他收到了回复——确认漏洞存在，漏洞报酬评级为高危，漏洞报酬奖金8000元。漏洞报酬这不是漏洞报酬他第一次靠找漏洞赚钱，但这次让他印象深，漏洞报酬因为那个漏洞的漏洞报酬触发路径，他用了整整两周才摸清楚。漏洞报酬

漏洞报酬，漏洞报酬英文叫Bug Bounty，漏洞报酬说白了就是企业出钱请人找自己系统的毛病。这事听起来挺合理，但真正参与进去的人才知道，它更像一场没有地图的寻宝游戏。企业把门锁上，然后悬赏能撬开门的人。你撬开了，拿钱走人；撬不开，白费力气。

李明入行三年，最初是从“补天”和“漏洞盒子”这类平台上接活。刚开始他连SQL注入都写不利索，全靠看别人的报告和公开的漏洞库慢慢磨。有一次他花了一整个通宵，试图在一个教育类App里找越权漏洞，结果第二天早上发现那个接口需要企业内网才能访问。白干。这种事儿太常见了，他说，“十次尝试里能有一次确认就算不错。”

但回报确实诱人。国内平台的单个漏洞奖金从几百到几万不等，国外像HackerOne、Bugcrowd上的项目，高危漏洞给到上万美元也不稀奇。2022年，一个叫“zbleet”的 researcher 在苹果的漏洞赏金计划里拿到了10万美元，原因是找到了一个能绕过iOS锁屏的漏洞。这个数字在圈子里传了很久，像一针兴奋剂。

不过，钱不是唯一驱动力。我认识一个在深圳做渗透测试的哥们，他周末也刷漏洞，但从来不提奖金的事。他跟我说，找到漏洞那一瞬间的感觉，跟解出一道极难的数学题差不多。“你盯着那堆代码，突然发现一个逻辑上的裂缝，然后顺着裂缝往里走，越走越深，最后啪一下，进去了。那种快感，比钱来得直接。”

当然，漏洞报酬这行也有阴暗面。有人为了拿奖金，故意把漏洞细节夸大；有人把同一个漏洞拆成好几份提交，试图多拿几笔钱；还有人干脆把漏洞卖给黑产，因为那边出价更高。平台和企业也在博弈，有的企业收到报告后拖几个月不回复，最后告诉你“已修复，但不符合奖金条件”。李明就遇到过这种事，他提交了一个支付逻辑漏洞，对方确认了，但奖金拖了半年才到账，打了七折。“你没什么办法，规则是他们定的。”

更麻烦的是法律边界。有些漏洞挖掘行为，如果没在授权范围内，可能触犯《网络安全法》甚至刑法。2021年有个案例，一个白帽子在未授权的情况下测试了某政府网站，虽然没造成实际损害，但还是被请去喝了茶。后来这个圈子的人学乖了，只接有明确授权和赏金范围的项目。

我问李明，还会继续干这行吗。他说会，但不会全职。“全职太焦虑了，这个月有漏洞，下个月可能颗粒无收。当副业反而心态好，找到就赚一笔，找不到就当学技术。”他最近在学逆向工程，说移动端的漏洞奖金更高，但门槛也更高。“反正就是一直学，一直找。这行没有终点。”

漏洞报酬的本质，是企业和安全研究者之间的一种非正式契约。企业承认自己系统不完美，研究者用技术换报酬。但这个契约很脆弱，靠的是双方对规则的默契。一旦有人越界，整个生态就会受影响。李明说，他见过太多人来了又走，能坚持下来的，要么是真爱技术，要么是真缺钱。“我可能两者都有一点。”