网安副业实战：从 0 到月入 2000，我靠 SRC 挖洞 + 接小单的合法玩法

最新推荐文章于 2025-12-05 12:10:10 发布

原创最新推荐文章于 2025-12-05 12:10:10 发布 · 472 阅读

CC 4.0 BY-SA版权

文章标签：

943 篇文章

订阅专栏

943 篇文章

订阅专栏

938 篇文章

订阅专栏

在这里插入图片描述

“想搞网安副业，却怕乱扫网站违法”“下载了一堆工具，连个漏洞影子都没见着”“接了个私单，没签协议被客户赖账”—— 去年我刚尝试网安副业时，踩过的坑能凑成一本 “血泪史”。直到找到 “SR C 挖洞 + 接合法小单” 的组合玩法，才实现月入 2000，还没踩过法律红线。

网安副业的核心不是 “当黑客赚快钱”，而是 “用基础技术解决小需求”。本文从 “SRC 挖洞（稳赚不赔）” 和 “接合法小单（低门槛）” 两部分，讲清从 0 到月入 2000 的全流程，附工具包和避坑指南，新手看完就能上手。

很多人刚接触网安副业就栽在 “违法” 上，比如乱扫企业网站、接未授权测试单。在开始前，必须记住 3 条铁律：

我刚开始踩过的坑：帮朋友测他公司官网，没签授权书，结果被他们 IT 部门当成黑客报警，还好及时解释清楚 —— 从那以后，再小的单我都要签授权书，哪怕是帮邻居改 WiFi 密码。

SRC（安全应急响应中心）是企业官方认可的 “白帽练手场”，不用找客户、不用谈价，挖到低危漏洞就能拿奖金，新手首选。

平台名称	新手优势	低危漏洞奖金范围	审核周期
漏洞盒子（公益版）	低危漏洞也收录（如敏感信息泄露）	100-500 元	3-5 天
字节跳动 SRC	新人有 “首报奖励”（多给 50 元）	200-800 元	1-3 天
补天平台	有 “新手任务”（教你怎么提交报告）	150-600 元	2-4 天

避坑点：别去 CNNVD、CNVD 这些国家级平台，审核严、周期长，新手很难通过；优先选企业 SRC 或公益平台。

什么是敏感信息泄露：网站不小心泄露了数据库配置、用户手机号、后台账号等信息，比如/backup/db_config.php里有数据库密码。

实战步骤（以字节 SRC 为例）：

信息收集：用 “Fofa 语法” 找字节授权子域名：domain=“bytedance.com” && status_code=“200”，导出 10 个 URL；
测试漏洞：在每个 URL 后加常见敏感路径（文末工具包有清单），比如：

验证与提交：比如发现https://xxx.bytedance.com/backup/db.txt里有 “db_user=root&db_pass=123456”，截图保存，按平台模板写报告：

“漏洞位置：xxx URL；漏洞内容：泄露数据库账号密码；修复建议：删除备份文件，限制访问权限”。

我的案例：去年在漏洞盒子提交 “某地方子站泄露后台账号”，审核 3 天通过，拿了 300 元奖金 —— 整个过程没写一行代码，就是靠试敏感路径。

什么是未授权访问：不用登录就能访问需要权限的页面，比如后台管理页、API 接口。

实战步骤：

找目标：优先测 “Swagger 接口文档”（Fofa 语法：domain=“目标企业” && title=“Swagger”）；
测试：直接访问 Swagger 页面（如https://xxx.com/swagger-ui.html），看是否不用登录就能查看接口列表，甚至调用接口返回数据；
提交报告：截图 “未登录访问成功” 的页面，说明 “能调用/api/user/list接口获取用户数据”，附修复建议（添加登录认证）。

避坑点：测试时只 “验证存在”，别调用接口删改数据 —— 我朋友曾因调用删除接口，被平台判定 “破坏数据”，取消奖金还拉黑账号。