补天平台在2023年公开的国内漏洞总数是1274个，其中高危漏洞占比不到百分之十五。漏洞这个数字放在整个行业里看，平台不算多，国内也不算少。漏洞真正让我在意的平台是另一个细节：同一个提交者在三个月内反复提交某电商平台的逻辑漏洞，前后一共十七次，国内每次修复后都能找到新的漏洞绕过方式。平台最终给他发了块金属奖牌，平台还有一万多块奖金。国内他后来在博客里写，漏洞那块奖牌现在搁在显示器旁边，平台落灰了。国内

国内漏洞平台大致分三类。漏洞第一类是平台像补天、漏洞盒子这样的众测平台，企业发项目，白帽子来挖，平台抽成。第二类是CNVD、CNNVD这种半官方机构，主要做漏洞收集和通报，不直接给钱，但发的证书在圈子里有分量。第三类是各大厂商自己的SRC，阿里、腾讯、字节都有，只收自家产品的漏洞，奖金给得痛快，但范围窄。

补天的模式最像“漏洞集市”。企业把资产挂上去，白帽子挑着挖。有个做金融App的甲方跟我说过，他们在补天挂了三个项目，一个月收到四十多份报告，其中一半是重复的，还有几份明显是扫描器直接导出的结果，连请求包都没改。但没办法，得认。因为剩下那一半里，真有两三个能直接造成资金损失的漏洞。他说这话的时候语气很平，像是在说一件已经习惯的事。

漏洞盒子的玩法不太一样。他们更偏向“定向众测”，企业给一个明确的范围和时间窗口，白帽子集中火力打。2022年有个车企在漏洞盒子搞了一次众测，预算八万，三天时间。结果第一天就被人从车机系统里翻出一个远程解锁的漏洞，直接拿到最高赏金。剩下的两天，白帽子们开始互相“撞洞”，同一个接口被不同的人反复提交，审核人员加班到凌晨两点。

CNVD的流程要慢得多。提交一个漏洞，先等受理，再等验证，最后等归档。快的话两周，慢的话两个月。有个独立安全研究员跟我抱怨过，他提交了一个某政务系统的SQL注入，等了四十五天才拿到CNVD的编号。他说那段时间每天刷邮箱，比等快递还焦虑。但拿到编号之后，他把截图发在朋友圈，配文是“值了”。

厂商SRC是另一套逻辑。腾讯的TSRC有个“月度奖励”机制，每月根据漏洞质量和数量给排名靠前的白帽子额外发钱。有个常年在TSRC挖洞的人告诉我，他去年靠这个机制多拿了六万多。但他也说，厂商SRC的漏洞越来越难挖，因为业务线太多，边缘资产反而成了突破口。他最近一个高危漏洞是在一个几乎没人维护的旧版活动页面上找到的，那个页面还在用五年前的框架。

奖金之外，漏洞平台还在做一件事：给白帽子建立信用档案。补天有一套“rank分”系统，提交的漏洞质量越高，分越高，能接的项目也越高级。有个刚入行的大学生，前三个月提交了二十多个低危漏洞，rank分涨得很慢。后来他花了两周时间啃了一个开源CMS的代码，挖出一个远程代码执行，直接跳了两级。他在论坛里发帖说，那两周每天只睡五个小时，但看到rank分跳上去的时候，觉得值。

漏洞平台的审核人员是另一群容易被忽略的人。他们每天要看几十份甚至上百份报告，判断真假、定级、给赏金。有个在漏洞盒子做过审核的朋友说，最怕遇到“描述模糊、复现步骤不全”的报告，得自己动手去试。他遇到过一份报告，提交者只写了一句“存在XSS”，连payload都没给。他花了半小时自己构造了一个，确认之后还是给了低危的赏金。“按规则可以拒，但人家毕竟花了时间。”他说。

国内漏洞平台走到今天，规则越来越细，流程越来越长，但核心没变：有人挖，有人收，有人审。中间那些具体的人、具体的操作、具体的等待和失望，才是这个系统真正运转的燃料。奖牌会落灰，rank分会涨也会跌，但漏洞一直在那里，等着被找到。