夜雨聆风市面上的打字、刷单、搬运、手工兼职，大多单价极低、套路满满、费时费力还不赚钱。很多人都在找靠谱且收入可观的线上副业。
今天给大家说一个计算机行业正规、长期稳定、越做越值钱的副业 ——网络安全挖漏洞（白帽子漏洞悬赏）。
只要有一台电脑，零基础跟着教程练习，就能在正规平台提交漏洞赚取赏金，也是目前互联网认可度最高的居家技能副业之一。
先讲重点：所有人最关心的 3 个问题
1、这个副业合法吗？
完全合法，正规官方认可！
我们做的是白帽安全测试，只在平台授权的正规企业网站、系统内检测漏洞，主动帮厂商发现安全隐患、修复问题，厂商自愿发放赏金感谢。
全程合规、可溯源、受法律保护，和黑客入侵、非法搞破坏有本质区别。
2、新手能赚到钱吗？
可以！行业真实行情：
低危简单漏洞：200–500 元 / 个
中危常规漏洞：800–2000 元 / 个
高危严重漏洞：3000–10000 + 元 / 个
熟练之后，每月稳定产出 2–5 个普通漏洞，轻松超越绝大多数居家副业收入。而且技能越练越熟练，收益会持续上涨，属于长期增值型副业。
3、需要基础吗？多久能上手？
零基础可学！零基础可学！
我们不需要一上来攻克高深技术，新手从基础靶场练手，掌握固定测试逻辑，就能挖掘新手高频漏洞。
郑重声明：绝对不能碰的法律红线！
科普副业的前提，一定是遵守法律法规，规避所有风险，所有人务必牢记：
只测官方授权资产：仅在补天、各大厂商 SRC 公示的可测试域名、系统内操作，任何未授权网站、政府网站、学校网站、私人平台，一律禁止扫描、测试、访问。
只做漏洞验证：发现漏洞仅截图留存证据，禁止盗取、下载、泄露用户数据，禁止篡改、删除网站内容。
绝不私下交易漏洞：所有漏洞统一提交官方平台，私下倒卖、泄露高危漏洞属于违法行为。
只要守住以上三条，全程零风险、纯正规赚钱。
新手入门全套流程：练手→实战→变现
整个副业分为两大阶段：本地靶场练手（打基础）+ 官方平台实战（赚收益），循序渐进，零翻车。
第一阶段：6 大免费新手靶场，零基础打好基础
靶场就是专门给新手练习漏洞挖掘的模拟训练场，完全免费、无风险、随便练，包含全网 90% 的常见网站漏洞类型。
新手不用瞎找资源，认准这 6 个主流靶场，循序渐进通关即可。
1、DVWA（新手入门首选）
全网最经典的入门靶场，覆盖互联网核心的OWASP 十大漏洞，包含暴力破解、SQL 注入、XSS 跨站、文件上传、权限绕过等所有基础漏洞。
支持低、中、高三种难度，新手从最低难度开始练，快速理解网站漏洞的底层逻辑，是入行必通关的基础靶场。
2、SQLi-Labs（专攻 SQL 注入漏洞）
专门练习SQL 注入专项漏洞，设置 19 种不同的注入场景，覆盖新手能接触到的所有注入方式。
SQL 注入是互联网高危漏洞之一，赏金高、场景多，练好这一个漏洞，就有稳定出单能力。
3、XSS-Labs（专攻 XSS 跨站漏洞）
XSS 是新手最容易挖到、数量最多的漏洞类型，属于低中危主流漏洞，出单率极高。
靶场包含反射型、存储型、DOM 型三大类 XSS 场景，零基础熟练掌握后，实战中极易发现同类漏洞。
4、Upload-Labs（专攻文件上传漏洞）
文件上传漏洞是企业网站高频高危漏洞，一旦存在，攻击者可上传恶意文件控制网站后台，危害极大，厂商赏金非常可观。
这个靶场包含所有上传绕过技巧，覆盖市面上 99% 的上传漏洞场景。
5、WebGoat（官方权威教学靶场）
OWASP 官方出品的正规教学靶场，区别于纯漏洞练习，重点讲解业务逻辑漏洞、权限越权、会话劫持、访问控制漏洞。
真实企业场景中，逻辑漏洞数量极多，是新手中后期核心收益来源。
6、DSVW（轻量化源码靶场）
极简小型靶场，代码简洁易懂，适合新手看懂漏洞源码根源，告别只会用工具、不懂原理的短板，让技术更扎实，避免实战踩坑。
新手最优练习顺序（照着学就行）
DVWA（入门打底）→ SQLi-Labs+XSS-Labs（高频出单漏洞）→ Upload-Labs（高薪漏洞）→ WebGoat（逻辑漏洞进阶）→ DSVW（夯实原理）
新手直接装，无付费的必备免费工具
不用购买任何付费软件，全套免费工具足够新手变现：
Docker：一键部署所有靶场，操作简单、环境稳定、零配置报错
Chrome 浏览器：核心操作工具，搭配插件使用
Wappalyzer：识别网站开发语言、服务器、框架，辅助快速找漏洞
FoxyProxy：代理抓包必备工具
Burp Suite 社区版：全网挖洞核心工具，抓包、改包、重复发包，所有漏洞测试都离不开它
第二阶段：正规平台实战变现
靶场练习熟练后，即可进入官方正规漏洞悬赏平台实战，所有平台实名注册、公开透明、奖金可提现、全程合规。
一、新手友好变现平台
1、补天漏洞响应平台
全网门槛最低、最适合新手起步的平台，无复杂权限要求。
优势：审核速度快，低危漏洞也有奖励和积分，适合新手熟悉漏洞复现、截图、写报告、提交流程
作用：熟练流程、积累第一个战绩、快速建立信心
2、各大厂商官方 SRC 平台
阿里、腾讯、字节、京东、小米、百度等一线大厂，都有官方安全响应中心（SRC），专门悬赏漏洞。
真实赏金参考：
普通信息泄露、简单 XSS：200–500 元
越权访问、未授权访问、逻辑漏洞：800–2000 元
SQL 注入、文件上传、后台接管高危漏洞：3000–10000 + 元
所有测试资产均为官方公示白名单域名，可以完全合规的放心测试。
二、新手稳出漏洞的 7 步标准流程
锁定授权资产：只测试平台官方公示的可测试域名，绝不私自乱测
信息收集：识别网站框架、收集子域名、后台地址、接口文件、备份文件
针对性测试高频漏洞：优先测新手最容易出单的越权、未授权、XSS、信息泄露、验证码逻辑漏洞
完整漏洞复现：一步步操作，确保漏洞稳定可复现
全程截图留证：每一步操作、页面结果完整截图，是审核通过的核心依据
撰写标准漏洞报告：清晰写明漏洞详情、影响、复现步骤、修复建议
官方提交等待审核：审核通过后，自动发放赏金、积分
新手最容易出单的 5 类高概率漏洞
不用追求高深高危漏洞，新手吃透这 5 类漏洞，足够稳定赚钱：
权限越权漏洞：修改用户 ID、订单 ID，可查看、操作他人数据，中高频出单
未授权访问漏洞：无需登录，可直接访问后台、敏感页面、内部接口
反射型 XSS 漏洞：URL 参数存在注入点，可触发弹窗，新手入门爆款漏洞
业务逻辑漏洞：验证码复用、密码重置漏洞、权限校验缺失
敏感文件泄露：网站备份文件、源码配置、接口数据泄露
写在最后
挖漏洞副业，区别于其他副业，前期学技能，后期靠技术躺赚。
它正规合规、长期稳定，不仅能居家赚副业收入，练出来的网络安全技能，还能用于求职、简历加分、职业提升，是性价比极高的长期增值技能。对于普通人来说，一台电脑、空闲时间练习，就能拥有一份持续盈利的正规副业。
如果你想多一份稳定收入、掌握一门互联网硬核技能，这个方向，绝对值得深耕。
