黑客24小时正规接单平台对比

简介

「黑客24小时正规接单平台」并不是一个统一的机构或产品,而是对一类以在线方式长期受理安全测试任务、由平台居中撮合的企业安全服务渠道的通俗叫法。其实际载体是漏洞响应平台、漏洞众测平台和企业安全应急响应中心(SRC),企业按项目公布测试范围和评级规则,白帽子在范围内提交漏洞并按等级获得赏金^[1][2]。

这类平台的作用在于把分散在民间的攻防能力与企业需求对接。奇安信在其年报中称,补天漏洞响应平台是其旗下平台,漏洞数据同步公安部、网信办、工信部和国家漏洞库^[3]。平台化运作也意味着任务的合法性以书面授权和范围清单为前提,这构成此类比较的核心维度^[4]。

由于「正规」的判定标准并无统一的官方口径,公开讨论通常把是否具备运营主体、是否公布授权范围与评级规则、是否有成文的报告与结算流程作为比对依据^[5][4]。

沿革

漏洞众测的商业化起步于海外。2012 年,几名荷兰黑客与 Facebook 产品安全人员共同成立了 HackerOne,把企业支付的漏洞奖金与提交者对接,平台从奖金中抽取约 20% 作为佣金^[6][7]。同期成立的 Bugcrowd 总部位于美国旧金山,以众包方式提供漏洞赏金、渗透测试即服务与漏洞披露计划。

国内第三方平台随后出现。补天漏洞响应平台的起点可追溯至 2013 年,由奇安信建设,以公益属性收集民间发现的漏洞^[8]。2019 年 5 月 29 日,补天在上海举办的补天白帽大会上发布「补天五星计划」,把漏洞收集范围由以 Web 为主扩展到移动应用、物联网、工控与操作系统等方向^[9][10]。

企业自建的安全应急响应中心构成另一条线索。阿里巴巴安全响应中心于 2013 年 10 月上线,其先知平台自 2017 年开始运营,并于 2024 年升级至 2.0 版本。国家层面的众测平台亦投入运行,CNVD 网络安全众测平台以项目制方式组织定向测试并公布分级奖金标准^[1]。

近年的变化集中在规模与场景两端。奇安信方面披露,补天平台已汇聚超 16 万名白帽,累计报告 280 多万个漏洞;腾讯安全众测平台则把人工智能大模型应用纳入测试对象,并举办面向 AI 场景的攻防赛事。

特点

第一是运营主体与项目来源的差异。补天、先知等平台由安全厂商或互联网企业运营,项目来自其自建或受托的 SRC^[11];Bugcrowd、HackerOne 为独立第三方,客户涵盖多国企业与政府机构^[12]。

第二是计价方式。这类平台普遍按漏洞等级定价、按结果付费,公开项目会列出严重、高危、中危、低危等档位的奖金标准^[1]。漏洞盒子等平台还以赛季积分、榜单与奖金池的方式对白帽进行额外激励^[2]。相比之下,以人力外包形式承接的渗透测试、代码审计与等级保护配套服务多按项目或人天计价^[4]。

第三是流程与边界控制。平台一般要求测试仅限项目标注的资产范围,提交需附复现步骤与修复建议,由平台或企业完成分级、验证与奖金发放^[1]。部分平台对外承诺关键问题的响应时效,并在奖金之外提供报告模板与评级分类方法^[13]。

第四是覆盖领域的分化。既有面向通用 Web 与移动业务的综合平台,也有聚焦物联网、工控、区块链等专门方向的平台与项目^[14][1]。因此这类比较通常不宜简单排序,而需按资产类型、技术门槛与结算规则分场景对照^[5]。

在制度层面,未经授权的扫描与渗透可能触及刑事法律规定,因此平台的项目范围书、保密协议与授权文件是区分合规测试与其他网络活动的关键文本^[4][15]。这也解释了为何公开对比材料普遍把「是否只在授权范围内作业」列为第一项指标^[5]。

参见

• 白帽黑客 —— 在授权范围内发现并报告漏洞、以此获取赏金的安全研究人员,是此类平台的主要参与者。

• 漏洞赏金 —— 平台按漏洞等级向提交者支付报酬的机制,构成对比中的核心计价维度。

• 补天漏洞响应平台 —— 国内较早的第三方漏洞响应平台,常被作为国内渠道的参照对象。

• HackerOne —— 2012 年成立的海外漏洞赏金平台,常被作为国际渠道的参照对象。

• Bugcrowd —— 以众包方式提供漏洞赏金与渗透测试服务的海外平台。

• 企业安全应急响应中心 —— 企业自建的漏洞接收与响应机构,是平台上多数项目的需求来源。