2016年春天，漏洞盈利我蹲在出租屋的漏洞盈利折叠桌前，盯着一个电商平台的漏洞盈利支付接口文档看了整整三天。那会儿我刚从一家外包公司辞职，漏洞盈利兜里剩不到两千块。漏洞盈利第四天凌晨两点，漏洞盈利我往购物车里加了一件0.01元的漏洞盈利虚拟商品，把数量改成-1，漏洞盈利结算。漏洞盈利页面卡了半秒，漏洞盈利然后跳出一行绿字：支付成功，漏洞盈利已退款0.01元。漏洞盈利我愣了几秒，漏洞盈利又试了一次，漏洞盈利数量填-100。漏洞盈利这次返回的是“系统繁忙”。但那个0.01元的订单，已经进了数据库——而我账户余额没变。

这就是漏洞盈利的起点。不是电影里那种黑进五角大楼的炫酷场面，更多时候，它像在别人家后院发现一扇没锁的侧门。你推开门，走进去，看见桌上放着钱包，拿不拿？拿多少？怎么拿？每一步都是选择题。那个0.01元的负数订单，我没继续刷。我把截图发给了平台的安全响应中心，两周后收到一封感谢邮件和五百块京东卡。这钱少得可怜，但它让我确认了一件事：漏洞本身不直接产生利润，把漏洞变成报告、把报告变成赏金，才是正经路子。

后来我混进了几个众测平台。国内早期做这个的，像补天、漏洞盒子，上面挂满了各家厂商的SRC（安全应急响应中心）任务。一个中危漏洞，标价通常两百到八百。高危能到几千。但真正赚钱的，是那些没公开的私密项目。某次一个金融类App的众测，我花了一个周末测它的短信验证码接口。发现它校验的是手机号后四位加时间戳的MD5，而时间戳只精确到分钟。这意味着同一分钟内，后四位相同的手机号，验证码可以通用。我写了个脚本，一分钟内遍历了一万个号段，捞出来十几个有效验证码。这个漏洞最后评了高危，奖金一万二。交完税，到手九千多。

但别以为这是稳定收入。大部分时候，你花几十个小时，什么都挖不到。厂商修复速度越来越快，WAF越堆越厚，前端混淆一层套一层。更别提那些“忽略”的回复——你交了个逻辑漏洞，审核说“业务设计如此”，你一点脾气没有。我认识一个哥们，专挖某社交平台的越权查看私密相册，挖了半年，攒了七个漏洞，全被忽略。他气得把漏洞细节发到论坛上，第二天账号就被封了。

真正让漏洞盈利变成一门生意的，是中间商。有人专门收漏洞，转手卖给厂商或者第三方平台，抽三到五成。也有人做“漏洞挖掘培训”，收你八千八，教你用Burp Suite和sqlmap，实际上就是带你复现几个老掉牙的CVE。我见过最离谱的，是一个卖“0day挖掘机”脚本的，号称一键扫全网，结果打开一看，就是个封装了nmap和几个POC的批处理文件。买的人还不少。

我自己后来接了几个私活。帮一家小贷公司测他们的风控系统，发现他们的人脸识别接口可以被照片绕过——把照片贴在手机上，用另一部手机拍屏幕，活体检测就过了。这个漏洞我收了八千。但交报告那天，对方技术负责人问我：“你能不能别写太细？我们老板不想让董事会知道。”我删了两页细节，钱到账。那种感觉挺怪的，你明明发现了问题，却要帮着遮一半。

漏洞盈利的边界很模糊。有人拿去换赏金，有人拿去勒索，有人拿去卖数据。我见过一个家伙，挖到某酒店集团的数据库权限，里面几百万条开房记录。他没交，也没勒索，而是把数据打包卖给了几个做“私家调查”的。后来那家伙进去了，判了四年。我问他怎么想的，他说：“来钱太快了，一条记录五毛，十万条就是五万。”你看，漏洞本身没有道德属性，但用它的人有。

现在我不怎么挖了。偶尔看看众测平台的新项目，手痒了测两下。大部分时间在写代码，做正经的安全开发。那个负数订单的截图我还留着，放在一个叫“起点”的文件夹里。有时候翻到，会想起那个凌晨——屏幕光打在脸上，心跳加速，手指悬在回车键上。那一秒的选择，决定了后面所有事。