全面解析海外漏洞赏金平台HackerOne新手赚钱指南，涵盖核心漏洞类型、免费靶场练习、平台规则及AI辅助工具，帮助国内开发者利用技术赚取美元赏金。
Tags:老外每天刷的推特，2022年初被一位白帽查出一个毛病：只要知道一个人的手机号或邮箱，就能搜出他的推特账号，哪怕他在设置里关掉了这个功能。
这位白帽把问题写成报告，交到漏洞赏金平台HackerOne上，推特确认以后付了他一笔美金，这就是漏洞赏金项目：公司挂出赏金，你在允许的范围里找到漏洞，按严重程度拿钱。
国内几家大厂也有自己收漏洞的安全中心，可一家只收自家的产品；海外近两千个赏金计划挂在同一个平台上，人在国内也能提交，赏金按美元算。以前最难的是英文技术文档和英文报告，现在AI能帮你读文档、改英文，还能用中文一点点给你讲漏洞原理。
推特那份报告后来公开了，漏洞定的是高危，赏金5040美元。同一个漏洞修好之前被别人先用上了，540万个账号的资料在2022年7月被人拿去卖，公司愿意花钱请白帽，怕的就是这种事。
做这行做得最出名的，是阿根廷的Santiago Lopez，平台上的ID叫try_to_hack。他16岁注册，靠网上的免费教程和博客自学，几个月后拿到第一笔赏金，只有50美元。
恭城出海把他主页上的赏金记录挨个点开看了，最近几笔赏金是PayPal这家公司的赏金计划付的，一笔15000美元，一笔2500美元。他2015年5月加入，到现在已经在平台上待了十多年。
漏洞赏金项目怎么赚钱
这个项目说白了就是替公司找安全漏洞。公司在HackerOne上开一个赏金计划，写清楚哪些网站和App允许测、哪些问题算数、每一档给多少钱。
你在这个范围里找到漏洞，按平台的格式写一份报告交上去。公司的安全团队照着你的步骤复现成功，定好严重程度，赏金就发到你的账户里。
会买这个服务的客户主要分两种。
第一种是用户多、数据多的互联网公司，像Shopify、PayPal这样的，每年都在平台上付赏金。
第二种是这两年在做AI产品的公司，他们要人帮忙测聊天机器人会不会被一句话骗着说出不该说的内容。
赏金是找到一个付一个，一次一结。不过同一家公司的产品一直在更新，新功能一上线就可能带出新漏洞，所以老手常常专门研究几家公司，反复测。
国内做过网站开发、测试、运维的人，其实已经会了一半。比如你写过登录和权限相关的代码，就知道很多网站最容易在「这个人能不能看这条数据」上出错，这种越权漏洞正好是现在赏金涨得最快的一类。
平台去年的年度报告里，越权这类漏洞的有效报告多了29%，赏金涨了23%。那一个陌生人交上去的报告，公司真的会认、真的会付钱吗？
我查了下平台的年度报告，2024年7月到2025年6月这一年，公司们一共付出去8100万美元赏金，平台上累计验证过的漏洞有58万多个。其中赏金最多的前100个计划，一年就付了5100万美元。
为什么现在适合做漏洞赏金
第一个原因是AI产品多了，要测的东西也多了。恭城出海查新数据的时候发现一件挺意外的事：跟AI有关的漏洞报告一年涨了210%，其中提示词注入这一类涨了540%，也就是想办法骗AI说出不该说的话。
把AI纳入测试范围的计划有1121个，比前一年多了270%。这些都是新开的范围，老手也是刚开始摸，新手和老手差得没那么远。
第二个原因是AI把学习这一关变低了。平台统计里，七成的白帽已经在用AI工具，看不懂的英文文档丢给AI翻，看不懂的代码让AI一行行讲给你听。
第三个原因是赏金按美元结，1美元换7块多人民币，同样查出一个漏洞，到手的钱换回来要再乘七。
这么多钱摆在那儿，为什么国内做的人不多？我一开始也没想到，最大的原因是很多人根本不知道海外公司会公开花钱请陌生人找漏洞，以为这是专业安全公司的事。
其实平台不看你的学历和公司，只看你的报告是不是真的、能不能复现。Santiago当年只有16岁，全靠自己看网上的免费教程学出来的。
漏洞赏金项目能赚多少钱
每家公司的赏金都是自己定的，我拿Shopify的赏金计划举例，它把漏洞分成四档。
我按最低一档算了一下，一个低危漏洞500到1000美元，换成人民币三千五到七千左右。
在Shopify，就算是最轻的一档漏洞，也能拿到几千块人民币。
Shopify从你提交报告到付钱，平均一个月左右，这家公司在平台上已经累计付出去1000多万美元。
刚开始的人，第一笔赏金一般是几十到几百美元，Santiago的第一笔就只有50美元。做这行的人普遍说，专心学的新手两三个月能交出第一个有效漏洞，这是同行的估算，因人而异。
有了积累以后，收入会往上走得很快。印度有个白帽叫Shivam Vashisht，20岁拿到第一笔赏金，2019年全职挖漏洞，一年的赏金超过12.5万美元。
做得最好的就是Santiago这样的。他19岁那年累计赏金过了100万美元，是平台上第一个做到的人，前后报告了1600多个漏洞。
平台当时算过一笔账，他三年拿到的赏金，是阿根廷软件工程师平均工资的40倍。
漏洞赏金项目的具体操作步骤
下面五步是一个新手从零开始的顺序，关键的是第四步，其余几步照着做就行。
第一步：学会常见的漏洞类型
新手先把OWASP Top 10这份清单弄懂，它把网站最常见的十类安全问题排了个序。2025年的新版里，排第一的还是访问控制失效，也就是前面说的越权。
新版还多了软件供应链失败、异常处理不当两类。英文说明看不懂就交给AI，让它用中文举个网站的例子讲给你听，一类一类过，比自己读教材快得多。
第二步：在免费靶场里练手
光看原理找不到漏洞，得动手练。PortSwigger把练习实验按SQL注入、XSS、越权这些类型分成三十来类，每一类从入门级做到进阶级，全部免费。
每做完一个实验，把自己用的请求和步骤记下来。这些笔记后面写报告的时候直接能用，AI也能帮你把它们整理成英文。
第三步：从不给钱的计划开始
平台上的计划分两种：一种是漏洞披露计划，只收报告不给钱；另一种才是赏金计划。
这一步恭城出海要多提一句：新手先在不给钱的计划里练手，目的是积累信誉值。新号是100分，报告被确认加7分，重复了加2分，被判不适用扣5分，垃圾报告扣10分，拿到赏金还另加10到50分。
信誉值高了，公司会主动发私密计划的邀请，那里面测的人少，你找到的漏洞被别人抢先报掉的也少。Santiago的平均分是7.00，也就是他交上去的报告几乎份份都被确认。
第四步：读懂范围再动手测
每个赏金计划的页面上都写着范围：哪些域名和App能测，哪些不能碰，哪几类问题公司不收。
范围外的东西一个都别测，这条红线千万不能碰。
范围里写着的资产、按规则测，是公司授权过的，没写的就算发现了问题也不能动手。有的计划还要求用它给的测试账号，或者在请求里加一个标记，这些都要照着做。
新手最容易上手的是越权漏洞。你注册两个测试账号，用A账号登录，把地址栏或请求里代表订单、用户的编号改成B账号的，能看到B的数据，就是一个越权漏洞。
你别看这个方法简单，很多赏金就是这么来的，Santiago最擅长的也正是越权这一类。
测的时候先挑一家公司，把它的功能从头用一遍，注册、下单、改资料、邀请同事，每个功能都想一想：换个人来操作，系统会不会拦。熟悉一个产品以后，你会比第一次来的人快很多。
第五步：写一份能复现的报告
报告的结构很固定：标题、问题概述、复现步骤、这个漏洞会造成什么危害，最后附上证明。推特那份拿了5040美元的报告，就是按这个格式写的，复现步骤一共四五条，审核的人照着做一遍就能看到问题。
报告写得让人能照着复现，比漏洞本身有多厉害更要紧。
英文不好没关系，你用中文把步骤写清楚，再让AI翻成英文。
但有一条要注意，今年2月以后，用AI写的报告一下子涌进来，整个行业收到的报告多了一倍多，很多复现不出来。平台现在要求用了AI也得自己验证一遍、附上能复现的证明，有的公司还要求附上录屏和日志。
赏金可以提到PayPal、银行账户，也能打到比特币或USDC钱包里，具体设置都有详细的教程，可以到我博客里看看。
漏洞赏金项目我分享一下我的经验
第一条，别跟机器抢简单漏洞。平台统计里，自动化工具交上来的有效漏洞，78%是XSS这种表面上的问题，所以人要把时间花在越权、业务逻辑这类机器看不懂的地方。
第二条，被判重复不用灰心。重复报告也加2分，说明你找的方向是对的，只是晚了一步；真正要避开的是不适用，所以每份报告交之前，自己从头复现三遍。
第三条，每次被拒都拿来复盘。说实话，前几个月被判重复、不适用都很正常，把公司的回复和你的报告一起丢给AI，让它帮你看哪里没说清楚，进步会快很多。
第四条，挑有赏金表、回复快的计划。Shopify这种把每一档赏金写得清清楚楚、平均几天就回复的，比什么都不写的计划省心得多。
漏洞赏金项目总结一下
这个项目卖的是你找问题的本事，公司把范围和价钱挂出来，你找到一个，它付一个。以前难住人的英文文档和英文报告，现在AI都能帮你过。
这门手艺要先学几个月才能见到第一笔钱，可学会以后，全世界近两千个计划都能接。
Santiago当年也是从一个50美元的小漏洞开始，靠免费教程一点点学，最后成了平台上第一个赏金过百万的人。反正学漏洞不用花钱，练的地方也都是免费的。
想先把出海的基础补一补，给我发条消息，出海赚美金10大基础知识那套课我发你。恭城出海后面接着讲这类靠技术赚海外赏金的项目。
没有评论:
发表评论