漏洞赏金变现思路：国内 SRC 与国外赏金平台差异，漏洞评级与奖金逻辑

免责声明：本文内容仅用于网络安全学习研究，所有漏洞挖掘、赏金测试行为，必须严格遵守平台规则、厂商授权范围以及国家法律法规。仅可在平台公示授权范围内开展测试，禁止越界测试、批量拉取用户数据、拖库等违规行为。漏洞赏金存在不确定性，不保证稳定收益，请勿将漏洞赏金作为全职收入唯一来源。本文不构成任何收入承诺与攻击指导。

摘要

很多白帽新手学习挖洞的终极目标就是漏洞赏金变现，但绝大多数人踩坑都源于一个根本性认知错误：把国内 SRC 和国外 Bug Bounty 赏金平台当成同一套规则，用国内 SRC 的挖洞思路去打国外赏金项目，或者用国外赏金标准评估国内 SRC 漏洞，导致漏洞被降级、奖金远低于预期，甚至提交的工单直接被驳回。

国内 SRC 体系以各大厂商自建安全响应中心和补天等国内众测平台为主体，而国外赏金赛道以 HackerOne、Bugcrowd 两大平台为核心，两者在资产授权范围、漏洞评级模型、奖金定价逻辑、审核流程、撞洞规则、合规边界、结算方式上，存在巨大差异。国内 SRC 更看重业务资产权重、对国内业务和用户数据的影响；国外赏金平台普遍基于 CVSS 评分体系，同时区分项目奖金池，不同厂商项目奖金差距极大。

想要稳定依靠漏洞赏金变现，不能只学习漏洞挖掘技术，更需要吃透评级规则、奖金发放逻辑，根据平台特性调整挖洞策略。新手优先国内 SRC 积累经验、赚取小额奖金，熟练之后再选择性切入国外赏金项目，是风险最低的成长路线。

本文万字实战长文，系统对比国内 SRC 与国外赏金平台的底层差异，拆解漏洞评级原理、奖金定价的核心影响因素，分析不同等级漏洞的收益区间，同时给出分阶段变现路线、预算规划、避坑清单、真实案例复盘，讲解如何调整挖洞思路提高奖金、减少降级、规避违规风险。全文约 13000 字。

前言

在漏洞赏金圈子里有一句很现实的话：挖到漏洞不等于拿到奖金，漏洞评级决定奖金多少，平台规则决定你能不能拿到这笔钱。

很多新手埋头苦练 Burp、SQL 注入、越权漏洞，耗费大量时间挖到漏洞，提交之后才发现：同一个类型漏洞，在 A 厂商 SRC 是高危，奖金几千元；放到 B 厂商 SRC 只能评为中危；放到国外 HackerOne 项目，有可能直接定级 Critical，奖金上万美金；也有可能在部分国外私有项目里，因为利用条件苛刻，直接判定无奖金。

之所以会出现巨大的评级差异，根源在于国内 SRC 和国外赏金平台的底层设计目标完全不一样。
国内厂商 SRC，本质是企业自身的安全风险管理项目。厂商设立 SRC，首要目标是发现自身业务漏洞、修复安全风险，奖金是激励手段，不是首要目标。奖金预算由厂商单独审批，不同业务线权重差异巨大，核心业务、用户数据相关漏洞奖金高，边缘测试资产奖金会大幅打折。

国外 Bug Bounty 赏金项目，分为公开项目（Public）和私有邀请项目（Private）。国外赏金项目是企业主动拿出固定奖金池，花钱购买漏洞报告。企业愿意为严重漏洞支付高额美金，但是对漏洞可利用性、攻击链路、影响范围的审核标准更加严苛，很多国内 SRC 认可的低危、中危信息泄露，在国外很多项目直接无奖金。

另一个巨大误区：很多白帽认为 CVSS 分数就是奖金标准。国内 SRC 不会完全照搬 CVSS，更多是业务综合评估；国外平台虽然参考 CVSS，但最终奖金依然由厂商项目规则决定，CVSS 只是参考，不是硬性标准。

想要做好赏金变现，必须建立两套思维体系：一套适配国内 SRC 生态，一套适配国外赏金平台。本文从底层机制、评级规则、奖金逻辑、变现策略、风险避坑，完整拆解。

一、国内 SRC 生态体系与国外赏金平台基础介绍

1.1 国内 SRC 体系分类

国内 SRC 分为两大类型：厂商自建 SRC、第三方众测平台。

1. 厂商自建 SRC：腾讯 TSRC、字节 SRC、阿里 SRC、小米 MiSRC、360SRC、携程 SRC、B 站 BILISRC 等。厂商独立制定漏洞评分标准、奖金档位、资产 Scope，独立安排安全人员审核漏洞，奖金由厂商直接发放。
2. 第三方众测平台：补天、漏洞盒子等。平台作为中间方，对接多家企业，企业发布赏金项目，白帽在平台提交漏洞，平台负责基础审核，奖金由企业发放，平台承担结算。

国内 SRC 特点：

• Scope 范围明确公示，区分生产资产、测试资产、边缘资产；
• 评级分为 5 档：严重、高危、中危、低危、忽略；
• 奖金形式：现金、安全币 / 贡献币（可兑换现金、礼品、证书）；
• 审核人员是厂商内部安全工程师，熟悉自身业务，评估漏洞对业务影响；
• 大量公益 SRC 项目无现金奖励，只发放积分、荣誉证书，适合新手练手。

1.2 国外赏金平台体系

主流两大平台：HackerOne、Bugcrowd，此外还有 Google VRP、Microsoft MSRC 独立赏金计划。
国外项目分为 Public（公开项目，任何人可参与）、Private 私有项目（邀请制，只有被厂商邀请的白帽才能参与，奖金池普遍更高）。
国外漏洞等级：Critical（严重 P1）、High（高危 P2）、Medium（中危 P3）、Low（低危 P4）、None（无影响，无奖金）。
国外项目特点：

• 项目独立规则，每个厂商赏金范围、资产范围、拒绝清单完全独立；
• 参考 CVSS3.1 评分，但最终奖金由厂商决定；
• 奖金直接美金结算，部分项目支持 Paypal、加密货币（国内白帽不推荐）；
• 审核由厂商安全团队或者平台第三方审核人员处理；
• 大量项目明确声明：单纯信息泄露、目录遍历，仅在影响大量用户数据时才发放奖金，普通低危信息泄露不给奖金。

关键区分：国内 SRC 普遍愿意为低危信息泄露发放小额现金或者积分；国外绝大多数公开赏金项目，单纯目录遍历、普通静态文件泄露，直接判定无奖金。这是国内外最直观的差异。

1.3 变现门槛对比

国内 SRC 门槛：

• 门槛低，新手可以从公益 SRC、补天新手项目起步；
• 不需要复杂的海外收款渠道；
• 实名认证即可，人民币结算，到账流程简单；
• 低危漏洞也有小额收益，适合新手积累第一笔赏金，建立正向反馈。

国外赏金平台门槛：

• 公开项目门槛尚可，但是竞争极其激烈，撞洞概率极高；私有项目门槛高，需要过往优质漏洞报告履历，厂商主动邀请；
• 需要海外收款渠道，涉及外汇申报，存在合规成本；
• 对英文报告撰写能力要求高，漏洞报告必须英文描述复现步骤；
• 低危漏洞几乎没有收益，只有中高危、Critical 漏洞才有可观奖金，新手前期大概率长时间零收入。

二、国内 SRC 与国外 Bug Bounty 平台核心差异对比

下面从资产授权、漏洞评级、奖金定价、撞洞规则、审核周期、拒绝项、变现策略七个维度对比，这是全文核心。

2.1 资产范围与 Scope 规则差异

国内 SRC：

1. 厂商会在 SRC 页面明确列出允许测试的域名、APP、小程序、IP 资产；
2. 资产分为核心业务资产、普通业务资产、测试环境资产；同一种漏洞，发生在测试环境资产，奖金会大幅打折，甚至只给积分不给现金；
3. 很多厂商允许测试子域名、附属资产，但是第三方外包站点、合作企业资产一般不在 Scope 内；
4. 部分厂商明确禁止：对业务进行批量遍历、大量请求，即使在 scope 内，批量操作也会判定违规，工单驳回。

国外赏金项目：

1. 每个项目单独写 In Scope、Out of Scope，规则极其精细，很多项目明确排除第三方子域名、CDN、静态资源；
2. 很多项目把测试环境、Staging 环境直接放到 Out of Scope，哪怕你挖到 RCE，也不予收录；
3. 部分项目允许供应链漏洞，第三方服务商漏洞如果影响主企业，可提交拿奖金；但也有项目直接排除第三方资产；
4. 很多项目明确禁止自动化大规模扫描，禁止爬虫、批量遍历用户数据，违规直接封号。

2.2 漏洞评级逻辑差异

国内 SRC：业务影响优先，CVSS 只是辅助参考
国内厂商安全工程师定级，优先看四点：

1. 资产权重：是否核心业务，是否涉及大量用户手机号、身份证、支付信息；
2. 漏洞利用难度：是否无需登录，是否不需要用户交互，攻击门槛高低；
3. 影响范围：可以影响多少用户；
4. 造成的业务损失：是否可以篡改订单、资金、用户账号。

举例：同样是水平越权

• 核心业务 APP，可查看千万用户手机号，定级【严重】，奖金上万；
• 内部测试后台，仅少量测试账号，同样水平越权，降级为高危甚至中危，奖金大幅缩水。

国外赏金平台：CVSS 评分 + 业务影响双重判断，同时看漏洞可利用性
国外 HackerOne/Bugcrowd 普遍使用 CVSS3.1，CVSS 分数分为基础分、时间环境分。
CVSS ≥9.0 → Critical；7.0~8.9 → High；4.0~6.9 → Medium；0.1~3.9 → Low。

但是 CVSS 不是万能的，很多漏洞 CVSS 分数很高，但是厂商认为利用条件苛刻，实际奖金会降低。

国外评审重点关注：

1. 是否可以稳定复现，无复杂前置条件；
2. 是否可以远程无交互利用；
3. 泄露的数据类型：普通公开信息 vs 用户隐私 PII（身份证、社保、银行卡）；
4. 是否存在厂商 WAF、风控天然拦截，如果漏洞被风控默认拦截，奖金会下降甚至不给奖金。

重点对比案例：目录遍历漏洞
国内 SRC：目录遍历读取配置文件，一般评定低危，发放几十至几百元奖金；
国外大部分公开赏金项目：单纯目录遍历，读取非敏感文件，直接判定无奖金。

2.3 奖金定价逻辑差异

国内 SRC 奖金规则

国内厂商奖金档位是固定区间，厂商提前公示每个漏洞等级的奖金范围，同时乘以资产权重系数。
举例：

• 严重：10000 元～100000 元（核心业务上限更高，如字节重大漏洞可达 20 万）
• 高危：2000 元～20000 元
• 中危：300~3000 元
• 低危：几十～500 元

同等级漏洞，资产系数是关键。核心业务系数高，测试环境资产系数低，边缘资产打折。
国内 SRC 还有额外加分项：漏洞利用思路新颖、报告质量高、提前预警重大风险，安全团队可以额外追加奖金。

国内众测平台补天，会划分资产等级，A 类核心资产奖金上限最高，D 类边缘资产奖金低。

国外赏金平台奖金规则

国外项目没有统一固定奖金表，每个项目独立设置奖金池。
HackerOne 公开项目历史平均奖金参考：

• Critical：平均 15000 美金，区间 5000~100000 美金；
• High：平均 7000 美金；
• Medium：平均 1500 美金；
• Low：平均 200 美金，很多项目 Low 不给奖金。

私有邀请项目奖金会更高，部分大厂项目 Critical 漏洞可达十万美金级别。
国外奖金的影响因素：

1. 项目类型：私有项目 > 公开项目；
2. 漏洞的攻击链路，能否直接接管账号、窃取批量 PII；
3. 报告质量，是否提供完整 POC、复现视频；
4. 是否是厂商内部未知漏洞；如果厂商内部已经知晓该漏洞，无奖金；
5. 撞洞规则：奖金只发给第一个有效提交者，后续提交标记重复 Duplicate，无奖金。

巨大差异：国内 SRC 部分厂商，重复漏洞如果提供新的利用思路、新的资产，可能会少量奖励；国外赏金项目，Duplicate 重复漏洞几乎一律 0 奖金。

2.4 撞洞规则

国内 SRC：

1. 优先奖励第一个有效提交者；
2. 部分场景，如果后续提交者发现同一漏洞在新资产上可复现，或者提供全新利用方法，不会直接判定重复，会酌情定级发放奖金；
3. 审核周期较长，工单排队时间长，撞洞概率依然很高。

国外赏金平台：

1. 严格以提交时间戳为准，奖金只给第一位提交且报告完整可复现的研究者；
2. 后续任何人提交同一漏洞，直接标记 Duplicate，无论报告质量多高，没有奖金；
3. 很多项目会在 HackerOne 上公开漏洞状态，漏洞一旦被提交，所有人都可以看到该漏洞处于 open 状态，避免重复挖掘。

2.5 审核周期与结算

国内 SRC：

• 审核周期：一般 3~30 天，复杂高危漏洞审核周期更长；
• 结算：审核完成漏洞收录定级之后，按月或者按批次打款；
• 安全币模式：小米 MiSRC 等，漏洞发放贡献币，后续手动兑换现金。

国外赏金平台：

• 审核周期：公开项目几天到几周不等，私有项目审核更快；
• 结算：漏洞确认并修复之后，厂商发放赏金，平台扣除手续费；
• 收款：PayPal 为主，国内白帽需要自行处理外汇相关申报，存在一定手续费、汇率损耗。

2.6 不予收录 / 无奖金的常见情况

国内 SRC 常见驳回原因：超出 Scope、无法复现、重复漏洞、自发现（厂商内部已知）、漏洞属于理论漏洞无法实际利用。

国外赏金项目无奖金清单（比国内严格得多）：

1. 单纯目录遍历、robots.txt 泄露、普通静态文件泄露；
2. 缺少 PII 的普通信息泄露；
3. 低危的 XSS，无法窃取 Cookie，无用户交互价值；
4. 漏洞需要极其苛刻的前置条件，现实场景无法利用；
5. 第三方组件版本号泄露，没有可利用 POC；
6. 测试环境漏洞，且测试环境明确写在 out of scope。

三、漏洞评级底层逻辑拆解：决定奖金高低的五大核心维度

无论国内还是国外，漏洞评级不是看漏洞类型名称，而是综合评估 5 个维度，理解这个逻辑，挖洞的时候就可以主动瞄准高奖金漏洞。

3.1 资产权重（最重要）

资产权重，也就是漏洞所在业务的重要程度。
国内 SRC：核心业务（支付、账号体系、用户中心）权重最高；其次普通业务；测试环境、demo 站点权重最低。同样漏洞，在测试环境奖金直接砍半甚至只给积分。
国外赏金项目：生产环境最高，Staging 测试环境很多项目直接排除，一分钱没有。

实战变现思路：不要花费大量时间在边缘测试资产挖洞，优先瞄准核心业务资产，同等漏洞，奖金差距可达数倍甚至数十倍。

3.2 利用门槛

利用门槛包含：是否需要用户交互、是否需要前置权限、是否需要特殊条件。
最高奖金漏洞：无需登录、无需用户交互，直接远程利用。
举例：无交互 RCE、未授权访问，可批量获取用户数据，评级最高。
需要用户点击钓鱼链接才能触发的存储 XSS，评级会下降；需要登录普通用户账号才能触发的越权，评级中等；需要管理员账号才能触发的漏洞，评级大幅降低。

3.3 影响范围

漏洞能够影响多少用户、多少数据。

• 批量获取全部用户手机号、身份证，属于大范围影响，高分高奖金；
• 只能查看当前登录用户自己信息，影响范围很小，降级；
• 只能操作测试账号，没有真实用户数据，奖金大幅缩水。

3.4 数据敏感等级

数据敏感等级排序：资金相关数据 > 身份证、手机号等 PII 隐私数据 > 普通用户信息 > 网站普通文本、静态配置。
国外赏金平台极其看重 PII 个人敏感信息，能够批量读取 PII 的漏洞，CVSS 分数会拉高，奖金显著提升。单纯读取非敏感配置文件，价值很低。

3.5 漏洞可稳定复现性

漏洞报告必须稳定复现。如果漏洞偶现、无法稳定复现，无论理论危害多高，都会降级，甚至不予收录。

这也是为什么高质量漏洞报告，必须附带完整复现步骤、截图、录屏，提高评级，减少降级。前面万字 SRC 漏洞报告文章，就是解决这个问题。

四、不同漏洞类型，国内外奖金收益对比

结合评级逻辑，整理高频漏洞，对比国内 SRC 和国外赏金平台收益差异，方便白帽选择挖洞方向。

4.1 远程代码执行 RCE

国内 SRC：核心业务严重，奖金数万；测试环境高危，奖金降低。
国外赏金：Critical，高额奖金，公开项目 5000 美金起，私有项目上限极高。

变现优先级：最高，属于两大平台都认可的顶级漏洞。

4.2 垂直越权 / 后台未授权访问

国内 SRC：核心业务高危～严重，几千到上万；
国外赏金：High~Critical，几千美金，可批量管理用户的属于 Critical。

4.3 水平越权

国内 SRC：高频高分漏洞，核心业务高危，几千元；
国外赏金：如果可以批量读取大量用户 PII，Critical；仅查看单条用户信息，Medium。

4.4 SQL 注入

国内 SRC：可拖库、读取敏感数据，严重；仅查询普通信息，高危；
国外赏金：可读取批量 PII，Critical；只读普通数据 High；盲注无法拿到数据，降级 Medium。

4.5 SSRF

国内 SRC：可访问内网敏感服务、读取密钥，高危；仅可以访问公网，中危。
国外赏金：可以内网横向移动、读取密钥，Critical；仅公网请求，Medium。

4.6 存储型 XSS

国内 SRC：可窃取 Cookie、劫持账号，高危；普通无交互 XSS，中危。
国外赏金：能劫持账号、批量影响用户，High；仅弹窗、无任何数据窃取能力，Low，很多项目不给奖金。

4.7 信息泄露（OSS/COS 密钥、配置文件泄露）

国内 SRC：密钥可读取大量业务数据，高危；普通配置泄露，低危，几十到几百元。
国外赏金：密钥可访问大量 PII 数据，Critical；普通无敏感信息泄露，多数项目无奖金。

4.8 目录遍历、源码泄露

国内 SRC：低危，小额奖金；
国外赏金：绝大多数公开项目无奖金。

变现策略总结：
国内 SRC 变现路线：优先业务逻辑漏洞（越权、未授权），其次注入、SSRF，低危信息泄露批量刷积分小额变现；
国外赏金变现路线：优先寻找可以批量获取 PII、接管账号的漏洞，普通低危漏洞不要浪费时间，几乎没有收益。

五、分阶段漏洞赏金变现完整路线

阶段一：新手入门（0 基础，国内 SRC 练手，目标：拿到第一笔赏金）

目标：学习基础挖洞技术，熟悉 SRC 规则，学会写漏洞报告，拿到第一笔奖金，积累工单经验。
平台选择：补天公益 SRC、厂商公益 SRC，小型厂商 SRC。
挖洞策略：

1. 不要死磕高危漏洞，优先挖掘低危、中危漏洞，熟悉提交流程；
2. 主攻业务逻辑漏洞：验证码漏洞、越权、未授权访问；
3. 学习被动信息收集，寻找测试环境资产，减少被封禁；
4. 打磨漏洞报告，保证复现步骤清晰，减少驳回、降级。
   收入预期：单洞几十到几百元，稳定产出中危漏洞，月入几千属于优秀水平。
   核心收获：熟悉国内 SRC 审核人员的评审思路，掌握取证、报告撰写，积累简历项目经历。

新手避坑：不要一上来就冲大厂核心业务，大厂工单竞争极大，撞洞概率极高，新手很难出分。优先中小型厂商练手。

阶段二：国内进阶（熟练挖洞，稳定产出高危漏洞，国内 SRC 为主力变现渠道）

目标：稳定产出高危、严重漏洞，提高单洞奖金，优化资产筛选，减少撞洞。
平台选择：头部厂商 SRC、补天商业众测项目。
挖洞策略：

1. 资产测绘优先被动收集，筛选高价值遗留资产、测试后台；
2. 主攻高分漏洞：业务逻辑越权、后台未授权、SQL 注入、SSRF、云存储密钥泄露；
3. 放弃大量低危目录遍历，低危只作为补充，不要占用主力时间；
4. 长期监控厂商新增证书、新增子域名，第一时间发现新资产，降低撞洞概率；
5. 优化漏洞报告，增加 POC 视频，提升评级，争取额外奖金。

收入预期：高危漏洞单洞几千到上万，产出严重漏洞单次奖金可达数万。
这个阶段也是国内大部分全职白帽的主流赛道。

阶段三：跨境赏金（有扎实国内经验，切入国外 HackerOne/Bugcrowd）

前提条件：国内 SRC 已经稳定产出高危漏洞，英文阅读、英文报告撰写能力达标。
不建议零基础直接冲国外赏金，前期大概率长时间零收入，打击心态。

挖洞策略：

1. 优先选择公开项目中小厂商，不要直接冲 Google、Meta 这类顶级大厂，竞争爆炸，撞洞极其严重；
2. 仔细阅读项目 In Scope、Out of Scope，逐条阅读赏金矩阵；
3. 放弃单纯低危信息泄露，只聚焦可以拿到 Medium 及以上的漏洞；
4. 英文报告严谨，完整描述影响、复现步骤、危害；
5. 优先寻找供应链漏洞、第三方组件漏洞，这类漏洞撞洞概率更低。

收入预期：Medium 漏洞上千美金，High 数千美金，Critical 上万美金。但是项目竞争激烈，收入波动极大，没有稳定保底。

风险提醒：国外赏金项目收入波动巨大，汇率、平台手续费、审核周期都会影响最终到手金额，不建议直接全职。

六、提升奖金的实操技巧：减少降级，提高漏洞评级

很多白帽挖到漏洞，明明具备高危潜力，但是提交之后被降级，奖金大打折扣，下面是实战提分技巧。

6.1 优先在核心业务资产找漏洞

同样漏洞，资产权重决定奖金上限。提交漏洞第一时间，确认漏洞所在资产属于核心业务，在报告开篇写明资产对应的业务体量、用户规模，帮助评审理解业务影响。

6.2 充分证明漏洞的真实危害，不要只证明理论漏洞

很多新手只证明漏洞存在，但是没有证明危害。
举例：水平越权，只证明可以修改 id 查看别人数据，但是没有展示返回的手机号、身份证等敏感字段。评审会认为危害有限，降级。
正确做法：截图完整展示泄露的敏感 PII 数据，说明该漏洞可以批量获取多少用户信息，真实业务影响。

6.3 完整的复现材料，降低评审成本

评审工程师每天处理大量工单，报告越清晰、取证越完整，越容易给到更高评级。
材料清单：

1. 清晰的请求包、响应包；
2. 截图，标记敏感信息；
3. 复现录屏，完整演示漏洞利用流程；
4. 描述攻击链路，攻击前置条件，利用难度；
5. 说明漏洞的修复建议。

6.4 区分 “理论漏洞” 和 “可实际利用漏洞”

理论漏洞：环境限制、WAF 拦截、需要几乎不可能满足的前置条件，即使 CVSS 分数高，评审会降级。
提交报告时，主动说明漏洞是否可以绕过 WAF、风控，真实环境下攻击者是否可以稳定利用。

6.5 合理选择提交时机，关注厂商活动

国内很多 SRC 会举办众测活动，活动期间漏洞奖金加倍，例如安全月众测，奖金 2 倍、4 倍。可以关注厂商公告，在活动窗口期提交，奖金直接翻倍。

国外赏金项目，部分厂商会阶段性提升奖金池，重点关注项目公告。

七、赏金变现的风险与成本，理性看待收益

很多人只看到赏金案例中单洞几万、几十万，忽略背后时间成本、风险成本。

7.1 时间成本

漏洞挖掘属于概率型收入。哪怕资深白帽，也会连续几周无法产出有效漏洞。新手前期投入大量时间，可能长时间没有奖金。不要幻想短期暴富。

7.2 合规风险（重中之重）

1. 严格遵守 Scope，超出授权范围的测试，属于违法，严重会承担刑事责任；
2. 禁止批量遍历、批量下载用户数据，哪怕漏洞存在，过度取证会判定违规，工单驳回，账号封禁；
3. 漏洞信息不要对外泄露，漏洞未修复前，禁止公开 POC；
4. 国外赏金项目，遵守当地法律，同时国内白帽需要遵守国内网络安全相关法规。

7.3 税务、结算成本

国内 SRC 奖金，达到起征点需要缴纳个税，厂商代扣代缴；
国外美金赏金，存在汇率损耗、平台手续费，外汇申报流程复杂，存在资金结算成本。

7.4 心理内耗

长期挖不到漏洞、撞洞、漏洞降级，是赏金白帽常态，需要强大心态，对应前面文章《挖洞心态：长期挖不到漏洞怎么办？新手常见自我内耗问题与提升方法》。

八、真实案例复盘

案例 1：国内 SRC，同类型漏洞，资产不同评级差距巨大

白帽 A，在某厂商测试环境子域名发现水平越权，可以查看测试账号信息。提交之后评级中危，奖金 800 元。
白帽 B，在同厂商核心业务用户中心，发现同样水平越权，可读取真实用户手机号，评级高危，奖金 8000 元。

复盘：漏洞类型完全一致，资产权重和泄露数据不同，奖金相差 10 倍。挖洞优先核心业务资产。

案例 2：国外 HackerOne 项目，普通信息泄露无奖金

白帽挖到某国外项目目录遍历，读取普通配置文件，配置文件不含密钥、用户隐私。提交之后，厂商判定 Low，项目规则写明 Low 漏洞无奖金，工单收录但是 0 美金。

复盘：国内 SRC 这种漏洞一般几十元，国外很多公开项目直接没有奖金，不要把国内挖洞思路直接搬到国外。

案例 3：撞洞导致奖金丢失

国外公开项目，白帽 A 在周一提交 Critical 账号接管漏洞，报告完整可复现。白帽 B 周三挖到同一漏洞，提交，标记 Duplicate，无奖金。
国内 SRC，白帽 B 发现该漏洞在另外一个独立子域名可以复现，厂商认可，单独定级高危，发放奖金。

复盘：国内外撞洞规则差异巨大，国外撞洞几乎没有任何补偿。

九、新手常见变现误区

误区 1：CVSS 分数越高，奖金一定越高。
纠正：CVSS 只是参考，业务资产权重、数据敏感程度影响更大。

误区 2：国外赏金一定比国内 SRC 赚钱。
纠正：国外大厂奖金高，但竞争极度内卷，大量白帽同时挖掘，撞洞概率极高，新手大概率长期零收入。国内中小厂商 SRC 更容易稳定产出小额、中额奖金，风险更低。

误区 3：低危漏洞没有价值。
纠正：国内 SRC 低危可以批量刷积分，适合新手练手，积累报告经验；但是国外赏金项目，不要花费大量时间挖掘低危。

误区 4：只要漏洞存在，就一定有奖金。
纠正：资产不在 scope、测试环境排除、重复漏洞、无法复现，都可能收录但是 0 奖金。

误区 5：把赏金当成全职工作。
纠正：赏金收入波动极大，绝大多数白帽都是兼职，不建议零基础直接全职挖洞。

十、结语

漏洞赏金变现，技术只是基础，读懂平台规则、评级逻辑、奖金机制，才是稳定变现的核心。

国内 SRC 与国外 Bug Bounty 赏金平台，两套完全不同的评价体系。国内 SRC 以业务风险为核心，低危漏洞也有小额激励，适合新手入门，积累实战经验，兼职变现；国外赏金平台以 PII 数据、可远程利用的高危漏洞为核心，奖金上限极高，但竞争激烈，低危漏洞大多无收益，门槛更高，适合有扎实国内挖洞经验之后再切入。

想要走赏金路线，分阶段规划：新手先深耕国内 SRC，吃透漏洞评级逻辑，打磨漏洞挖掘与报告撰写能力，稳定产出中高危漏洞；积累足够经验、英文能力达标之后，再尝试国外赏金项目。同时必须守住合规底线，严格遵守厂商授权范围，坚持最小验证原则，不越界、不批量拉取用户数据，避免账号封禁与法律风险。

赏金挖掘本质是概率游戏，不存在稳定保底收入。理性看待收益，不要盲目全职，把挖洞能力作为网络安全职业的加分项，无论是求职、能力提升，还是兼职获取赏金，都是更稳妥的路线。

---

最后

关于网络安全技术储备

网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】