企业官网建设流程全解析

聊安全副业，绕不开漏洞挖掘、技术博客、竞赛奖金这三个高频词。这三个方向我都挨个试过，也见过身边有人靠其中某一个做出成绩，所以后台经常有人问我：我到底适合做哪个？我总是先反问一句，你是被哪个“结果”吸引进来的？如果是看到别人提交一个高危漏洞到手几千块，你可能已经选错了方向。技术博客也常被误解成“写文章赚钱”，竞赛奖金被当成快速变现的路，但实际操作下来，每个方向的真实投入、难度曲线和适合人群完全不同。这篇就把三个方向通通摊开，讲点没人细说的实话。

1. 先把三个方向摊开看：本质完全不同，别凭热度选

1.1 三者赚钱方式完全不同

漏洞挖掘的本质，是出售“替人发现问题”的时间。你在授权范围内，对一个系统做测试，找到能被厂商认定的漏洞，提交报告，换取奖金或积分。它要求你理解业务逻辑、熟悉常见漏洞原理，还要有耐心去分析一个功能模块可能出问题的所有角度。收入短平快，但前期非常容易颗粒无收。

技术博客的本质，是内容复利。你通过写作把知识整理成文章，读者通过搜索或在社区里看到，慢慢认识你。变现不是靠稿费，而是靠后续的能力背书、付费内容、内推、咨询、合作机会。它很慢，可能需要半年甚至一年后才看到收入，但一旦积累起来，天花板反而最高。

竞赛奖金的本质，是“短周期高强度的应试型能力输出”。CTF、攻防对抗赛这种，目标明确、规则清晰、时限紧张，比的是短期解题速度、知识广度、漏洞利用熟练度。拿奖是结果，但准备过程很长，奖金分摊到团队每个人后，往往没你想的那么高。

我见过太多人凭热度选方向：看到别人挖洞赚钱就去挖洞，结果撞洞、误报、写了十份低危报告被忽略，三个月后心态崩了。也见过写博客的，坚持写了半年阅读量不过百，觉得没意义就停了，可偏偏在停更之后，几篇老文章开始被搜索流量持续翻出来。本质没想清楚，很容易在错误的方向上消耗热情。

1.2 副业的第一约束：合规与授权，永远别碰灰色

这个必须放在最前面说。所谓漏洞挖掘，指的是在授权许可的前提下进行的测试。正规的众测平台、厂商的安全应急响应中心（SRC）、企业公开的漏洞收集计划，都会明确测试范围、允许的测试方式和禁止事项。你在这些授权范围内做测试，提交漏洞，才叫白帽工作。没有授权的系统，哪怕技术再简单、漏洞再明显，也不要去碰。

技术写作同样有边界。可以写漏洞原理分析、防御思路、工具使用心得，但不要教人怎么去打未授权的目标，不要公开披露尚未被厂商修复的漏洞细节。竞赛则是在官方搭建的比赛环境里进行，所有操作都是合法的。

这个底线一旦打破，就不是赚钱的问题，而是要承担法律责任的问题。我见过有人因为“只是做个测试，没碰数据”而最后陷入麻烦。说句实在话，真正能在这个领域长期做下去的，没有一个是靠灰色操作。合规不只是道德要求，也是能睡得着觉的前提。

2. 方向一：漏洞挖掘，靠“找别人的错”赚钱，门槛比想象中高

2.1 钱的构成与真实的难度曲线

先说好消息：合规漏洞挖掘的奖励下限并不低。国内主流众测平台和SRC通常都有梯度奖励，低危漏洞可以拿到几十到几百元，中危几百到一两千元，高危几千元，严重级漏洞根据不同业务类型和资产价值，可以到上万元。部分地区和企业还会额外发布“漏洞活动”，可能翻倍。

但坏消息是，这里说的奖励，要建立在“你能挖到并成功提交”的基础上。新手最常见的问题不是技术不够，而是压根不知道去哪挖、挖什么。大厂的防御体系非常完善，常规的SQL注入、XSS已经很难找，即使找到，也可能是重复提交或者被归为低危，拿不到多少奖励。

我的真实体验是：第一年投入了大量精力，零零散散产出几单中低危，收入远不如预期。当时看到别人一发高危就很羡慕，后来才明白，那些稳定产出的选手，靠的不是“运气”，而是对某类业务特别熟悉。比如有人专门研究登录授权逻辑，有人专注支付流程漏洞，有人盯上新模块的并发问题。他们知道某个业务环节容易出什么样的逻辑错误，所以出手命中率高。

2.2 新人可以落地的起步路径

如果你想认真做漏洞挖掘，我建议按这个顺序来。

先选对平台。新手不要一开始就冲“奖励最高”的项目，而是选“范围清晰、规则透明、对新人友好”的项目。许多众测平台会有新上线系统、刚发布的功能模块，这类资产往往防护没那么成熟，问题出得比较多，适合练手。

再研究规则。每个项目的授权范围、测试时间、禁止事项都不一样。我在新手期就吃过亏，在一个项目里花了很多时间测试，提交后被告知该子域名不在授权范围内，白干一场。后来养成了习惯，开工前先把范围文档读三遍，哪怕多花半小时。

然后从“深挖一个点”开始。很多新人喜欢拿扫描器去批量扫一批目标，看到一个疑似漏洞就直接截图提交。这种流水线操作，既容易撞洞，也容易被驳为“误报”。更好的做法是选一个系统，梳理它的功能模块：登录、注册、找回密码、上传、支付、订单、搜索、评论……逐个分析它们之间的业务逻辑，想想哪些步骤能跳过、能重放、能篡改参数。逻辑漏洞比技术漏洞更容易命中，而且更受厂商重视。

最后，认真学写报告。报告的核心不是证明你多厉害，而是帮助厂商快速复现、判断影响、完成修复。要写清楚漏洞类型、出现位置、复现步骤（必要时用文字分步说明）、影响分析、修复建议。报告写得清楚，审批也快，还能在同一项目里建立良好口碑。

2.3 踩过的坑与应对

漏洞挖掘的坑，我挑典型的几个说。

撞洞是最劝退新人的。你以为发现了个独一无二的高危漏洞，结果提交时发现已经有人先提交了，平台只认最早提交者。应对方法就一句话：敏感项目优先打新上线的业务，越早越好。新系统漏洞多、提交的人少，撞车概率低得多。

低危陷阱也很常见。有些漏洞类型确实存在，但业务场景里影响很小，被判定为低危，一次只有几十块。更难受的是，很多平台对低危漏洞有提交限制，提交多了还可能拉低你自己的信誉。所以目标很明确，优先找能直接影响账号安全、资金安全、数据安全的漏洞，而不是去纠结一个纯反射型XSS。

误报被驳回是新人必经之路。可能是你没有完整走通攻击链，也可能是目标系统有防护规则，导致你的测试行为并没有真正造成漏洞影响。解决办法是提交前自己先做两次复现验证，别抱着“万一给过了”的心态。

再说一次法律边界：只打授权范围，不碰敏感数据，不做超出测试范围的任何操作。哪怕授权里有测试系统，也不意味着可以下载大批量数据验证危害。原则就一句话，点到即止，证明风险存在就够了。

3. 方向二：技术博客，先交付再变现，时间会给复利

3.1 博客到底怎么赚钱？别被“被动收入”骗了

技术博客最常被误解的点在于，很多人以为它是“写文章就开始收钱”。实际上，你发布的前几十篇文章，几乎不会有直接收入。它真正赚钱的方式，是通过内容让读者认可你的专业能力，然后在“个人品牌”这个池子里慢慢收获回报。

我见过几种落地路径。第一种是知识付费：博客攒了足够多读者后，开设付费专栏、训练营、社群，系统输出某个细分方向的内容。第二种是机会变现：因为技术博客被猎头、技术社区、创业团队看到，顺理成章获得内推机会、面试加分、兼职技术顾问、公开分享邀请。第三种是流量广告：文章有了阅读量后会有一点平台流量分成，但说实话，这部分很难成为主要收入。

所以我的建议是，选择博客这个方向，心态要先摆正。它不是“赚快钱”的工具，而是一个长线投资。前半年可能完全看不到钱，但每篇文章都在给你积累数字资产。我自己的博客到后期经常收到陌生私信，说看了某篇两年前写的踩坑复盘，解决了眼下的问题，这种感觉比拿稿费踏实得多。

3.2 新人写什么？选题比文笔重要

技术博客最容易踩的坑，是想写“大而全”的入门系列，比如什么“安全从入门到精通”，结果写了一篇就被自己心里那个庞大计划劝退了。我建议新人从“最小颗粒度”开始，写今天刚解决的问题。

举几个我推荐的选题类型。 第一类是踩坑复盘。比如你配置某个工具时遇到错误，查了两小时资料才解决，这就是一篇绝佳文章。写下错误现象、排查思路、最终解法，这类文章对后来者极具价值。 第二类是硬核对比实验。比如同一个漏洞检测工具，在A框架和B框架下表现有什么差异，你亲手测出来的结论，全网独一份。 第三类是“从结果倒推过程”的工具链心得。比如分享如何搭建一套本地测试环境、如何记录自己的学习数据，把自己当实验对象，真实数据最有说服力。

补充一个底层逻辑：博客最大的受益者其实是你自己。写作本身就是高强度学习。你为了写清楚一个问题，会比平时多查很多资料、多验证几个环节。这个“教学相长”的过程，比那点稿费值钱得多。

3.3 流量与变现的现实

流量焦虑是另一个劝退点。我见过有人为了追热点，硬写自己不熟悉的话题，阅读量上去了，但内容质量下滑，也吸引不到精准读者，最后反而找不到定位。

我的实测经验是，技术博客不要盲目追热点，更不要为了流量去写那些噱头十足但内容空洞的标题。真正有效的反而是“长尾关键词”策略。比如“某框架下XX问题的三种解法”“XX工具升级后配置失效怎么办”这类可能半年内都没什么阅读的文章，一旦开始被搜索命中，流量是持续而稳定的，今天有人搜到，明年还有人搜到。

另外提醒一句，别做“标题党”。技术读者最反感就是被标题骗进来，发现内容全是空话。宁可标题平淡一点，内容务必对得起点击。长期做下来，你在这个社区的信任值，才是真正值钱的资产。

4. 方向三：竞赛奖金，用比赛倒逼成长，奖金只是副产品

4.1 CTF的奖金结构，不止是奖金

CTF（Capture The Flag）这类竞赛，奖金并不是均匀分配的。通常是学校、企业或地区办赛，总奖金看着不错，一等奖有几万十几万，但按队伍拆下来、税后一算，每个人到手的钱往往没有想象的那么多。还有不少比赛只发证书和实物奖品。

那为什么还有人乐此不疲？因为竞赛真正的回报是“履历背书”和“能力证明”。一个拿过名次的选手，在安全岗位求职时，面试官至少会认为你的动手能力、快速学习能力、团队协作能力经过了实战检验。尤其在漏洞挖掘与利用、二进制逆向、取证分析这类方向上，竞赛经验几乎可以直接对应到岗位技能。

但如果你只冲着奖金去，性价比可能非常低。备赛需要大量的时间投入，刷题、打线上赛、复盘writeup，每一项都在持续占用业余时间。把同样时间花在漏洞挖掘或博客上，收入大概率会更高。所以竞赛适合的是那种“有竞技热情”的人，奖金对他来说更像一个勋章，而不是工资。

4.2 从零开始的备赛路线

真决定走竞赛方向，我的建议是这样安排。

先挑一块适合自己的“主赛道”。CTF常见方向包括Web安全、Pwn（二进制漏洞利用）、Reverse（逆向工程）、Crypto（密码学）、Misc（杂项），新人推荐从Web入手。原因是Web方向信息量最丰富，网上教程最多，反馈链路最短。你完成一道题，马上就知道对错，这对建立信心很重要。

再补基础知识。Web方向至少要把HTTP协议、前端代码、数据库查询、常见漏洞原理（SQL注入、XSS、文件上传、命令执行等）吃透。这里不需要一上来就啃厚厚的书，而是边做题边补，遇到不会的考点了去查资料、动手实验，记忆更牢。

再就是坚持打线上赛。不用贪多，找一两个持续举办的线上公开赛事，每周固定时间参加。比赛题目是最新出题思路的浓缩，打一场胜过自己做十道旧题。

团队配置也重要。找队友的标准不是“抱大腿”，而是互补。有人擅长Web、有人擅长逆向、有人擅长密码学，配合起来覆盖面才广。哪怕大家都是新人，只要愿意赛后一起复盘，成长速度也非常快。

4.3 从比赛到实战的转化

很多人会纠结一个问题：CTF里挖漏洞和真实系统里的漏洞挖掘是一回事吗？答案是既有关系又有差距。

赛事题目通常抽离了真实业务环境，没有复杂的登录逻辑、没有WAF拦截、没有中间件配置干扰，考点更纯粹。而真实系统里，漏洞往往藏在业务逻辑的细枝末节处，需要你先理解这个系统是干什么的，再判断哪里可能出问题。所以竞赛打得再好，也不代表实战就能稳定赚钱。反过来，有实战经验的人打CTF，优势在于更熟悉真实业务场景的建模，看到题目时更容易猜到出题人想考哪个点。

我的建议是把竞赛当成“学习实验场”，而不只是“赚钱渠道”。比赛过程中遇到的奇技淫巧、想到的实验方法，完全可以沉淀成技术文章或开源小工具。一次投入，既能刷比赛经验，又能给博客提供素材，还能反过来促进漏洞挖掘的思维训练。这个组合打法，才是竞赛方向性价比最高的玩法。

5. 到底怎么选？我整理了对比表和三个自问

5.1 一张表看清三个方向

这张表不是让你直接按“最友好”去选，而是帮你看清自己要付出的代价。我做副业这几年最大的感触是：方向本身没有高下之分，只有“适合”与“不适合”的差别。

5.2 三个问题先问自己

第一个问题：你每天能稳定投入多少时间？

如果每天只有碎片时间，加起来不到一小时，我优先推荐技术博客。写作可以拆分，今天记个笔记，明天扩成大纲，后天成文，弹性很大。如果每周能挤出两个整块时间，可以尝试漏洞挖掘或打比赛，它们都更需要“沉浸式思考”。

第二个问题：你是结果导向还是过程导向？

如果你急需看到钱来支撑动力，漏洞挖掘短期带来的刺激感可能更强，只是你要承受前期没产出的煎熬。如果你不着急变现、愿意把时间拉长到一年来看，博客的复利效应会让你惊喜。竞赛则适合那种“喜欢赢的感觉”的人，比赛从开始到结束只有几个小时，胜负反馈极快。

第三个问题：你现在缺什么？

缺钱就老老实实去挖漏洞，哪怕前期少，只要不断调低预期并提高命中率，总能慢慢上道。缺经历、缺履历，去打比赛，名次是最好的敲门砖。缺系统方法，那博客和漏洞挖掘可以互补，写作逼你理清思路，挖掘逼你用方法论找问题。

5.3 组合策略：别一开始就“三线作战”

总有人问我能不能三个方向一起做。我的回答是：如果你工作本身已经够忙，千万别。同时做三个副业方向的结果，大概率是三件事都做不深，每一件的反馈都来得很慢，最后全断。

更推荐“一主一辅”的组合。比如主攻漏洞挖掘，用博客记录每个漏洞的分析过程和思路，这样就算挖不到大奖，也积累了一堆高质量文章；主攻竞赛的话，把备赛笔记整理成博客，赛后复盘写成公开战报，一举两得。先集中精力把一件事做出成果，再考虑扩展，这个顺序很重要。

6. 一些真正的副业前提醒，以及我踩过的坑

6.1 别把副业做成本职的“负资产”

很多人忽略了一点：副业和主业是可以互相成就的。我是从安全主业起步的，做漏洞挖掘时，反向加深了对业务风险的理解；写博客时，逼着自己把项目中遇到的问题梳理成方法论；打比赛时获得的快速分析能力，又回补到日常工作中。

但如果你把副业当成逃避主业的手段，每天下班后硬撑着学自己根本不感兴趣的内容，那很难持久。选方向前可以先问自己：这件事实在不给我钱，我还愿意做半年吗？如果答案是不愿意，那大概率趁早换赛道，别硬扛。

6.2 定个止损线

副业最怕“无底洞式投入”。我建议你刚开始时给自己定几个明确节点：如果漏洞挖掘连续三个月没有产出，就降低投入比重，转去做博客沉淀；如果博客写了二十篇仍然没有方向和反馈，就换个选题策略，而不是干脆放弃写作；如果比赛打了半年没有进过决赛，就重新评估是训练量不够，还是赛道不适合。止损不是认输，而是调整资源配置，把时间花在更有回报的地方。

6.3 从最小的事情开始

我不太建议新手上来就立宏大目标，比如“今年要靠副业赚到十万块”，这种目标太远，反而让人无从下手。更实用的做法是，把目标缩到最小：这一周，选一个众测项目完成一次完整的测试；写一篇今天的踩坑记录；找一道CTF基础题，把它彻底看懂。每个小目标完成后的正反馈，才是支撑你走长远的核心燃料。

我自己最有成就感的副业成果，不是某一笔可观的奖金，而是坚持写作后，开始有开发者主动联系我咨询安全问题，有同行说“看你的文章少走了很多弯路”。那种“被需要感”，是比钱更能让人长久坚持的东西。

如果你还在犹豫选哪个方向，我的建议是别纠结太久。三个方向的门槛其实都不高，高的是坚持的门槛。挑一个自己最有冲劲的，先做三十天，用实际反馈说话。做了才知道适不适合，光想永远不会知道答案。