企业官网建设流程全解析

漏洞赏金平台HackerOne：帮海外公司找网站漏洞赚美金，新手入门

老外每天刷的推特，2022年初被一位白帽查出一个毛病：只要知道一个人的手机号或邮箱，就能搜出他的推特账号，哪怕他在设置里关掉了这个功能。

这位白帽把问题写成报告，交到漏洞赏金平台HackerOne上，推特确认以后付了他一笔美金，这就是漏洞赏金项目：公司挂出赏金，你在允许的范围里找到漏洞，按严重程度拿钱。

国内几家大厂也有自己收漏洞的安全中心，可一家只收自家的产品；海外近两千个赏金计划挂在同一个平台上，人在国内也能提交，赏金按美元算。以前最难的是英文技术文档和英文报告，现在AI能帮你读文档、改英文，还能用中文一点点给你讲漏洞原理。

推特那份报告后来公开了，漏洞定的是高危，赏金5040美元。同一个漏洞修好之前被别人先用上了，540万个账号的资料在2022年7月被人拿去卖，公司愿意花钱请白帽，怕的就是这种事。

做这行做得最出名的，是阿根廷的Santiago Lopez，平台上的ID叫try_to_hack。他16岁注册，靠网上的免费教程和博客自学，几个月后拿到第一笔赏金，只有50美元。

恭城出海把他主页上的赏金记录挨个点开看了，最近几笔赏金是PayPal这家公司的赏金计划付的，一笔15000美元，一笔2500美元。他2015年5月加入，到现在已经在平台上待了十多年。

漏洞赏金项目怎么赚钱

这个项目说白了就是替公司找安全漏洞。公司在HackerOne上开一个赏金计划，写清楚哪些网站和App允许测、哪些问题算数、每一档给多少钱。

你在这个范围里找到漏洞，按平台的格式写一份报告交上去。公司的安全团队照着你的步骤复现成功，定好严重程度，赏金就发到你的账户里。

会买这个服务的客户主要分两种。

第一种是用户多、数据多的互联网公司，像Shopify、PayPal这样的，每年都在平台上付赏金。

第二种是这两年在做AI产品的公司，他们要人帮忙测聊天机器人会不会被一句话骗着说出不该说的内容。

赏金是找到一个付一个，一次一结。不过同一家公司的产品一直在更新，新功能一上线就可能带出新漏洞，所以老手常常专门研究几家公司，反复测。

国内做过网站开发、测试、运维的人，其实已经会了一半。比如你写过登录和权限相关的代码，就知道很多网站最容易在「这个人能不能看这条数据」上出错，这种越权漏洞正好是现在赏金涨得最快的一类。

平台去年的年度报告里，越权这类漏洞的有效报告多了29%，赏金涨了23%。那一个陌生人交上去的报告，公司真的会认、真的会付钱吗？

我查了下平台的年度报告，2024年7月到2025年6月这一年，公司们一共付出去8100万美元赏金，平台上累计验证过的漏洞有58万多个。其中赏金最多的前100个计划，一年就付了5100万美元。

为什么现在适合做漏洞赏金

第一个原因是AI产品多了，要测的东西也多了。恭城出海查新数据的时候发现一件挺意外的事：跟AI有关的漏洞报告一年涨了210%，其中提示词注入这一类涨了540%，也就是想办法骗AI说出不该说的话。

把AI纳入测试范围的计划有1121个，比前一年多了270%。这些都是新开的范围，老手也是刚开始摸，新手和老手差得没那么远。

第二个原因是AI把学习这一关变低了。平台统计里，七成的白帽已经在用AI工具，看不懂的英文文档丢给AI翻，看不懂的代码让AI一行行讲给你听。

第三个原因是赏金按美元结，1美元换7块多人民币，同样查出一个漏洞，到手的钱换回来要再乘七。

这么多钱摆在那儿，为什么国内做的人不多？我一开始也没想到，最大的原因是很多人根本不知道海外公司会公开花钱请陌生人找漏洞，以为这是专业安全公司的事。

其实平台不看你的学历和公司，只看你的报告是不是真的、能不能复现。Santiago当年只有16岁，全靠自己看网上的免费教程学出来的。

漏洞赏金项目能赚多少钱

每家公司的赏金都是自己定的，我拿Shopify的赏金计划举例，它把漏洞分成四档。

我按最低一档算了一下，一个低危漏洞500到1000美元，换成人民币三千五到七千左右。

在Shopify，就算是最轻的一档漏洞，也能拿到几千块人民币。

Shopify从你提交报告到付钱，平均一个月左右，这家公司在平台上已经累计付出去1000多万美元。

刚开始的人，第一笔赏金一般是几十到几百美元，Santiago的第一笔就只有50美元。做这行的人普遍说，专心学的新手两三个月能交出第一个有效漏洞，这是同行的估算，因人而异。

有了积累以后，收入会往上走得很快。印度有个白帽叫Shivam Vashisht，20岁拿到第一笔赏金，2019年全职挖漏洞，一年的赏金超过12.5万美元。

做得最好的就是Santiago这样的。他19岁那年累计赏金过了100万美元，是平台上第一个做到的人，前后报告了1600多个漏洞。

平台当时算过一笔账，他三年拿到的赏金，是阿根廷软件工程师平均工资的40倍。

漏洞赏金项目的具体操作步骤

下面五步是一个新手从零开始的顺序，关键的是第四步，其余几步照着做就行。

第一步：学会常见的漏洞类型

新手先把OWASP Top 10这份清单弄懂，它把网站最常见的十类安全问题排了个序。2025年的新版里，排第一的还是访问控制失效，也就是前面说的越权。

新版还多了软件供应链失败、异常处理不当两类。英文说明看不懂就交给AI，让它用中文举个网站的例子讲给你听，一类一类过，比自己读教材快得多。

第二步：在免费靶场里练手

光看原理找不到漏洞，得动手练。PortSwigger把练习实验按SQL注入、XSS、越权这些类型分成三十来类，每一类从入门级做到进阶级，全部免费。

每做完一个实验，把自己用的请求和步骤记下来。这些笔记后面写报告的时候直接能用，AI也能帮你把它们整理成英文。

第三步：从不给钱的计划开始

平台上的计划分两种：一种是漏洞披露计划，只收报告不给钱；另一种才是赏金计划。

这一步恭城出海要多提一句：新手先在不给钱的计划里练手，目的是积累信誉值。新号是100分，报告被确认加7分，重复了加2分，被判不适用扣5分，垃圾报告扣10分，拿到赏金还另加10到50分。

信誉值高了，公司会主动发私密计划的邀请，那里面测的人少，你找到的漏洞被别人抢先报掉的也少。Santiago的平均分是7.00，也就是他交上去的报告几乎份份都被确认。

第四步：读懂范围再动手测

每个赏金计划的页面上都写着范围：哪些域名和App能测，哪些不能碰，哪几类问题公司不收。

范围外的东西一个都别测，这条红线千万不能碰。

范围里写着的资产、按规则测，是公司授权过的，没写的就算发现了问题也不能动手。有的计划还要求用它给的测试账号，或者在请求里加一个标记，这些都要照着做。

新手最容易上手的是越权漏洞。你注册两个测试账号，用A账号登录，把地址栏或请求里代表订单、用户的编号改成B账号的，能看到B的数据，就是一个越权漏洞。

你别看这个方法简单，很多赏金就是这么来的，Santiago最擅长的也正是越权这一类。

测的时候先挑一家公司，把它的功能从头用一遍，注册、下单、改资料、邀请同事，每个功能都想一想：换个人来操作，系统会不会拦。熟悉一个产品以后，你会比第一次来的人快很多。

第五步：写一份能复现的报告

报告的结构很固定：标题、问题概述、复现步骤、这个漏洞会造成什么危害，最后附上证明。推特那份拿了5040美元的报告，就是按这个格式写的，复现步骤一共四五条，审核的人照着做一遍就能看到问题。

报告写得让人能照着复现，比漏洞本身有多厉害更要紧。

英文不好没关系，你用中文把步骤写清楚，再让AI翻成英文。

但有一条要注意，今年2月以后，用AI写的报告一下子涌进来，整个行业收到的报告多了一倍多，很多复现不出来。平台现在要求用了AI也得自己验证一遍、附上能复现的证明，有的公司还要求附上录屏和日志。

赏金可以提到PayPal、银行账户，也能打到比特币或USDC钱包里，具体设置都有详细的教程，可以到我博客里看看。

漏洞赏金项目我分享一下我的经验

第一条，别跟机器抢简单漏洞。平台统计里，自动化工具交上来的有效漏洞，78%是XSS这种表面上的问题，所以人要把时间花在越权、业务逻辑这类机器看不懂的地方。

第二条，被判重复不用灰心。重复报告也加2分，说明你找的方向是对的，只是晚了一步；真正要避开的是不适用，所以每份报告交之前，自己从头复现三遍。

第三条，每次被拒都拿来复盘。说实话，前几个月被判重复、不适用都很正常，把公司的回复和你的报告一起丢给AI，让它帮你看哪里没说清楚，进步会快很多。

第四条，挑有赏金表、回复快的计划。Shopify这种把每一档赏金写得清清楚楚、平均几天就回复的，比什么都不写的计划省心得多。

学习资源

如果你也是零基础想转行网络安全，却苦于没系统学习路径、不懂核心攻防技能？光靠盲目摸索不仅浪费时间，还消磨自己信心。这份 360 智榜样学习中心独家出版《网络攻防知识库》专为转行党量身打造！

01内容涵盖

这份资料专门为零基础转行设计，19 大核心模块从 Linux系统、Python 基础、HTTP协议等地基知识到 Web 渗透、代码审计、CTF 实战层层递进，攻防结合的讲解方式让新手轻松上手，真实实战案例 + 落地脚本直接对标企业岗位需求，帮你快速搭建转行核心技能体系！

这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】

**读者福利 |******[CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享

02 知识库价值

• 深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
• 广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
• 实战性： 知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。

03 谁需要掌握本知识库

• 负责企业整体安全策略与建设的CISO/安全总监
• 从事渗透测试、红队行动的安全研究员/渗透测试工程师
• 负责安全监控、威胁分析、应急响应的蓝队工程师/SOC分析师
• 设计开发安全产品、自动化工具的安全开发工程师
• 对网络攻防技术有浓厚兴趣的高校信息安全专业师生

04部分核心内容展示

360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。

内容组织紧密结合攻防场景，辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合，是你学习过程中好帮手。

1、网络安全意识

2、Linux操作系统

3、WEB架构基础与HTTP协议

4、Web渗透测试

5、渗透测试案例分享

6、渗透测试实战技巧

7、攻防对战实战

8、CTF之MISC实战讲解

这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】

**读者福利 |**[CSDN大礼包：[《网络安全入门&进阶学习资源包》免费分享 ]

文章来自网上，侵权请联系博主