當(dāng)前位置：首頁(yè)>電腦故障 > 漏洞市場(chǎng)賞金飆升，但也得回頭看看自己的巨大漏洞

漏洞市場(chǎng)賞金飆升，但也得回頭看看自己的巨大漏洞

來(lái)源：番茄系統(tǒng)家園瀏覽：時(shí)間：2022-03-24 09:47:12

漏洞市场赏金飙升，但也得回头看看自己的巨大漏洞

一直以来，漏洞悬赏对程序员来说都更像是茶余饭后的消遣，但随着微软漏洞奖金提升计划到 25万美元，开始有人担心快速膨胀的奖金会为年轻的网络安全研究者带来错误的激励，此举更是会扭曲白帽子市场的秩序。

“如果挖个漏洞就能赚的盆满钵满，恐怕就没人会专心修复漏洞了。”安全研究者 Katie Moussouris 说道，她就是微软首个漏洞赏金项目的负责人。

“那些原本在公司里赚工资搞代码维护的人现在都坐不住了，他们纷纷转行成了全职的挖漏洞的白帽子，靠奖金来养活自己。” Moussouris 总结道。

“选择做黑客虽然动机各不相同，但大多数都受三个因素影响。”她解释道。其中包括经济补偿、同行认可和追求智力上的快感。也就是说，走上黑客之路肯定有一部分原因是出于爱好。

除了在漏洞悬赏界的丰富经验，Moussouris 还专门花了几年时间来分析数据，主题就与漏洞赏金项目和市场的其他特点有关。结果显示，防守型漏洞市场已经高度等级化，那些挖漏洞技巧致臻化境的一小部分黑客拿走了大部分赏金，其他人能跟着喝喝汤就不错了。

了解到，赏金项目经理 HackerOne 提供的数据集显示， 占参与总数 5% 的白帽子发现了 23% 的漏洞 ，而 Facebook等公司运营的漏洞赏金项目也呈现出这样的趋势。

在这样的市场氛围下，怎么会有人愿意放下能赚大钱的挖漏洞赚赏金机会，转去公司挣死工资呢？

风险溢价

在美国，“一位才华横溢的漏洞挖掘者一年找到多个价值 10 万美元的 Bug 并非不可能，也就是说，光靠吃赏金他就能赚到 50-100 万美元。”安全架构师Alex Ionescu 说道。不过他还加了一句，那就是 想靠赏金吃饭，风险和成本也相当可观。

首先，虽然宣传说赏金高达 10万美元，但通常这是上限，黑客很难拿到这个数。其次，“值这个价的漏洞可并非满地都是，即使技术高超，可能也要花数月甚至数年来寻找。”而且别忘了，参与赏金项目的可不是一位黑客，如果别人率先找到漏洞，你数个月的努力可能就会前功尽弃。别忘了，厂商也在积极寻找漏洞，而它们比黑客们更了解自己的产品。

此外，如果你要靠漏洞赏金过活，还得考虑自己的医疗保险和养老金等问题。

在美国，到底选择那条路还是看个人，毕竟在公司可以有自己的社交并学着与他人合作和相互学习，不过对有些人来说这些所谓的好处他们并不在意。

综合各种因素来说，Ionescu 认为 在美国如果一年赚不到 50-100 万美元的赏金，你还是放弃专职做漏洞挖掘者的想法吧。