2025版最新国内白帽子能赚多少钱？有多少白帽子全职挖洞能养活自己？零基础兼职挖漏洞收藏这一篇就够了

leah126

于 2025-02-10 10:35:21 发布

阅读量748

点赞数 13

分类专栏：程序员网络安全渗透测试文章标签：网络安全信息安全

本文链接：https://blog.csdn.net/leah126/article/details/145544630

版权

程序员同时被 3 个专栏收录

1430 篇文章

订阅专栏

渗透测试

1064 篇文章

订阅专栏

网络安全

411 篇文章

订阅专栏

经常会有粉丝朋友私信大白，想探究一下国内的SRC（安全响应中心）平台究竟支持了多少白帽黑客的生活？又有多少白帽黑客能够不依赖于传统工作，全职从事漏洞挖掘并以此维生？以下信息或许可以为那些有意踏上这条道路的朋友们提供一些宝贵的参考。

为了调研国内白帽子的收入，统计了 2024 年 2 月期间，奖励比较多的 SRC 平台榜单，根据白帽子的 ID 和所获奖金进行统计汇总，当月超过 1 万元收入的白帽子榜单如下（完整榜单可以后台回复 2024 获取）:

数据来源：腾讯、百度、阿里、蚂蚁金服、补天、360、贝壳、度小满、快手、京东、头条、美团、陌陌、oppo、vivo、平安、携程、小米等 SRC 平台。

经过统计，大家关心的内容如下：

1、月收入超过 1k 的白帽子数 106 人，实际上要比这个多，比如补天第十名已经 8k+

2、月收入超过 10k 的白帽子数 24 人，这个数据还比较准确

3、发放奖励最多的 SRC 是 腾讯安全应急相应中心，其次是补天、头条、阿里、贝壳、平安等

如果再问到我怎么渗透？怎么挖漏洞？

我的回答都是先从看漏洞公告开始，入门阶段至少看了两三千条历史漏洞。还要看漏洞分析文档，在看的过程中学习调试和汇编。

关于我

有不少阅读过我文章的伙伴都知道，笔者曾就职于某大厂安全联合实验室。从事网络安全行业已经好几年，积累了丰富的技能和渗透经验。

在这段时间里，我参与了多个实际项目的规划和实施，成功防范了各种网络攻击和漏洞利用，提高了互联网安全防护水平。

接下来我将完整的讲述漏洞挖掘过程中所有的细节，干货满满，内容有点长，记得点赞收藏！

漏洞挖掘****的流程一般可以概括为以下几个步骤：

漏洞去哪挖？

SRC即各个公司，厂商创建的漏洞安全响应中心。每家SRC都有着自己的漏洞收取范围以及漏洞收取标准。我这里给大家搜集整理了互联网公司常见的SRC平台。



漏洞盒子：https://www.vulbox.com

补天漏洞响应平台：https://www.butian.net

CNNVD信息安全漏洞库：https://www.cnnvd.org.cn

教育漏洞提交平台：https://src.sjtu.edu.cn

阿里巴巴 (ASRC)https://security.alibaba.com/  

`阿里云先知` https://xianzhi.aliyun.com/

`爱奇艺 (71SRC) https://security.iqiyi.com/     安恒 https://security.dbappsecurity.com.cn/     BIGO (BSRC) https://security.bigo.sg/   `

`BOSS直聘 (BSSRC) https://src.zhipin.com/`

`百度 (BSRC)` https://bsrc.baidu.com/

`百合 (BHSRC) https://src.baihe.com/     贝贝 (BBSRC) https://src.beibei.com.cn/     贝壳 (BKSRC) https://security.ke.com/     本木医疗 (BMSRC) https://security.benmu-health.com/src/     哔哩哔哩 (BILISRC) https://security.bilibili.com/     菜鸟网络 (CNSRC) https://sec.cainiao.com/     DHgate (DHSRC) http://dhsrc.dhgate.com/     大疆 (DJISRC) https://security.dji.com/     滴滴出行 (DSRC) https://sec.didichuxing.com/     东方财富 (EMSRC) https://security.eastmoney.com/     斗米 (DMSRC) https://security.doumi.com/     斗鱼 (DYSRC) https://security.douyu.com/     度小满 (DXMSRC) https://security.duxiaoman.com/     法大大 (FSRC) https://sec.fadada.com/     富友 (FSRC) https://fsrc.fuiou.com/     瓜子 (GZSRC) https://security.guazi.com/     好未来 (100TALSRC) https://src.100tal.com/     合合 (ISRC) https://security.intsig.com/     恒昌 (HCSRC) http://src.credithc.com/     虎牙 (HSRC) https://src.huya.com/     华为 (HBP) https://bugbounty.huawei.com/     华住 (HSRC) https://sec.huazhu.com/     欢聚时代 (YSRC) https://security.yy.com/     货拉拉 (LLSRC) https://llsrc.huolala.cn/     火线 https://www.huoxian.cn/project/detail?pid ref   焦点 (FSRC) https://security.focuschina.com/     金山办公 (WPSSRC) https://security.wps.cn/     金山云 (KYSRC) https://kysrc.vulbox.com/     京东 (JSRC) https://security.jd.com/     竞技世界 (JJSRC) https://security.jj.cn/     酷狗 (KGSRC) https://security.kugou.com/     快手 (KwaiSRC) https://security.kuaishou.com/     旷视 (MSRC) https://megvii.huoxian.cn/     老虎证券 (TigerSRC) https://security.itiger.com/     乐信 (LXSRC) http://security.lexinfintech.com/     理想 https://security.lixiang.com/     联想 (LSRC) https://lsrc.vulbox.com/     猎聘 (LPSRC) https://security.liepin.com/     MYSRC https://mysrc.group/     马蜂窝 (MFWSRC) https://security.mafengwo.cn/     蚂蚁集团 (AntSRC) https://security.alipay.com/     美丽联合 (MLSRC) https://security.mogu.com/     美团 (MTSRC) https://security.meituan.com/     魅族 (MEIXZUSRC) https://sec.meizu.com/     陌陌 (MMSRC) https://security.immomo.com/     你我贷 (NSRC) http://www.niwodai.com/sec/index.htm     OPPO (OSRC) https://security.oppo.com/     平安 (PSRC) https://security.pingan.com/     平安汇聚 (ISRC) https://isrc.pingan.com/     千米 (QMSRC) https://security.qianmi.com/     去哪儿 (QSRC) https://security.qunar.com/     融360 (Rong360SRC) https://security.rong360.com/     SHEIN https://security.shein.com/     SOUL https://security.soulapp.cn/     360 (360SRC) https://security.360.cn/     深信服 (SSRC) https://security.sangfor.com.cn/     世纪佳缘 (JYSRC) https://src.jiayuan.com/     水滴安全 (SDSRC) https://security.shuidihuzhu.com/     顺丰 (SFSRC) http://sfsrc.sf-express.com/     苏宁 (SNSRC) https://security.suning.com/     T3出行 (T3SRC) https://security.t3go.cn/     TCL (TCLSRC) https://src.tcl.com/     腾讯 (TSRC) https://security.tencent.com/     同程旅行 (LYSRC) https://sec.ly.com/     同程数科 (TJSRC) https://securitytcjf.com/     统信(USRC) https://src.uniontech.com/     同舟共测 https://tz.alipay.com/     途虎 (THSRC) https://security.tuhu.cn/     途牛 (TNSRC) https://sec.tuniu.com/     UCLOUD (USRC) https://sec.ucloud.cn/     VIPKID (VKSRC) https://security.vipkid.com.cn/     VIVO (vivoSRC) https://security.vivo.com.cn/   `

`WiFi万能钥匙 (WIFISRC) https://sec.wifi.com/`

`挖财 (WACSRC)` https://sec.wacai.com/

`完美世界 (PWSRC) https://security.wanmei.com/     网易 (NSRC) https://aq.163.com/     唯品会 (VSRC) https://sec.vip.com/     微博 (WSRC) https://wsrc.weibo.com/     微众 (WSRC) https://security.webank.com/     58 (58SRC) https://security.58.com/     伍林堂 (WSRC) https://www.wulintang.net/     喜马拉雅 (XMSRC) https://security.ximalaya.com/     享道出行 (SDSRC) https://src.saicmobility.com/     小米 (MISRC) https://sec.xiaomi.com/     小赢 (XYSRC) https://security.xiaoying.com/     携程 (CSRC) https://sec.ctrip.com/     新浪 (SSRC) https://sec.sina.com.cn/     讯飞 (XFSRC) https://security.iflytek.com/     易宠 (ESRC) https://sec.epet.com/`  `   一加 (ONESRC https://security.oneplus.com/     一起教育 (17SRC) https://security.17zuoye.com/     宜信 (CESRC) https://security.creditease.cn/     银联 (USRC) https://security.unionpay.com/     萤石 (YSCR) https://ysrc.ys7.com/     有赞 (YZSRC) https://src.youzan.com/`

挖漏洞前期的准备工作

一些在线的搜索引擎网站：

（一）资产测绘引擎

fofa资产测绘引擎：https://fofa.info/

鹰图资产测绘引擎：https://hunter.qianxin.com/shodan

资产测绘引擎：https://www.shodan.io/

360资产测绘引擎：https://quake.360.net/

零零信安资产测绘引擎：https://0.zone/

谷歌hacker语法：https://codeleading.com/article/8526777820/

以上的搜索引擎网站都是用来收集目标网站信息的一些网络空间资产测绘，可以帮助我们快速的定位到目标的资产，批量获取url进行漏洞挖掘！

（二）企业信息查询

爱企查：https://aiqicha.baidu.com

天眼查：https://www.tianyancha.com

企查查：https://www.qcc.com

小蓝本：https://www.xiaolanben.com

以上的网站是为了查询网站所属的企业的一些信息，为了方便在提交漏洞的时候填写详细联系方式和公司的地址。

（三）域名信息查询

爱站：https://www.aizhan.com

站长工具：https://tool.chinaz.com

oneforall：https://github.com/shmilylty/OneForAll

JSFinder：https://github.com/Threezh1/JSFinder

subDomainsBrute：https://github.com/lijiejie/subDomainsBrute

DNSdumpster：https://dnsdumpster.com/

在线域名爆破：http://z.zcjun.com

谷歌/必应：site:url.com

以上的网站是为了查询网站备案信息、网站权重信息、网站的ip信息等

（四）保持一个良好的心态

需要留心的是，漏洞挖掘是一项需要长期坚持学习和实操的过程。要成为一名优秀的漏洞挖掘者，需要不断学习新的方法和技术，并保持积极乐观的思维习惯和创新能力。

挖漏洞需要掌握的基础知识

首先说说基础理论知识:

1.计算机组成原理、计算机网络、计算机体系结构、计算机操作系统，密码学,多媒体技术等等。这些都需要掌握总之一句话就是大学计算机的基础课程。

2.编程: HTML、CSS、JavaScript、 PHP、 Java、 Python、 sql、 C、C++、 shell，汇编、nosql. powershell等等常见的语言基础都需要掌握，至少要熟练使用Python和sq|,这些语言都要学习两周到两三个月吧!

3.漏洞方面，漏洞分很多种，根据不同的标准也会有交叉，黑客要掌握大部分漏洞的形成原理，检测方法，利用方法，修复方法，常见的网站漏洞有sq|注入，XSS, 文件包含，目录遍历，文件上传，信息泄露，CSRF, 账号爆破，各种越权等等，常见的二进制漏洞有缓冲区溢出，堆溢出，整形溢出，格式化字符串等等，分析的时候还要绕过操作系统的保护机制。

协议的话也是存在漏洞的，比如TCP、UDP什么的拒绝服务，DNS劫持，ARP欺骗等等, 现在工控、物联网、AI什么的也都有各种各样的漏洞。

4.需要掌握的工具，工具太多, 基本上目前主流的客工具都要熟练使用，应该有几十种吧。上文已经详细阐述，这里就不赘述了。

网络安全全套工具安装包，我已经打包好了，需要的小伙伴扫描下方二维码即可前往免费获取。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

5.还有网站和通讯协议吧，客户端和服务器，用户输入网址点击访问到服务器返回网页这其中涉及的知识，如JavaScript, http请求， web服务器，数据库服务器，系统架构，负载均衡,DNS,等等是要熟练掌握的，然后说说主流的网站开发框架，其中Java的SSH三大框架要了解有什么漏洞啥的PHP的主流框架和CMS要了解，最好上面的框架都会掌握，如织梦，thinkPHP等等,另外主流的数据库服务器要了解如MySQL，sql server等。

如果要做漏洞利用的话涉及到TCP等编程，要会TCP编程，如果为了通讯安全,要掌握当前主流的加密算法，如AES, RSA, 3DES等等各种加密算法,如果要对端口进行暴力破解，要掌握端口的爆破技术，比如字典的选择使用。

还有要了解软件运行的时候在操作系统里怎么运行的，从计算机磁盘文件加载到内存,怎么布局的，代码段，数据段，堆栈段什么的，代码的参数在堆栈布局，内存地址什么的，另外还要了解系统的保护机制如代码执行保护等等。

当然挖漏洞需要学习的东西还有很多，很都东西都很关键。能走多远，就看你的执行力和兴趣了。

挖漏洞的注意事项

挖SRC一定要细，慢慢的去分析，不能着急往往越着急越挖不倒，这里可以给大家一些建议，在挖掘SRC期间

1. 不要着急出洞，先去慢慢摸索厂商的各种信息，了解每个功能点（做好信息搜集）

2. 去分析每一个数据包，知道每个数据包对应的功能点在哪儿，去知道数据包对应鉴权的地方在哪一块

3. 多去关注厂商的活动，一般新上线的项目或者活动漏洞比较好挖一些

4. 关注厂商信息，比如一些活动期间奖励翻倍等信息

5. 千万要记住去看人家厂商的漏洞收录范围，不看范围挖漏洞=白干

6. SRC漏洞挖掘需要遵守法律规定，避免侵犯网站安全和用户隐私，同时需要遵循公司或组织的安全政策。

7. 在进行SRC漏洞挖掘时需要注意保护漏洞信息和利用手法的安全性，不应该泄露给未经授权的人员。