How To Learn Bug Bounty Hunting - a Full Guide (2026)

漏洞賞金計畫本質上是大型科技公司與新創企業的一個精妙妥協：他們知道自己的程式碼有漏洞，於是主動把系統託管在HackerOne或Bugcrowd這類平台上，向全球網路安全愛好者發出邀請——在惡意駭客利用之前，請幫我們找到這些漏洞。你註冊帳號、選擇一個程序、透過「負責任地破壞」該系統並提交驗證報告。一旦公司確認漏洞的真實性，金錢就會進入你的帳戶。這種模式最優雅的地方在於，它完全迴避了傳統IT求職的所有繁瑣程序——無需精心打磨履歷、無需忍受技術面試、無需在白板上反轉二元樹。唯一的評判標準非常純粹：你是否找到了漏洞？

對於初學者，IDOR（不安全直接物件引用）是最容易產生成就感的入門點。當你訪問某個網站並看到URL是 `profile?id=1337` 時，那就是你自己的個人資料頁面。但如果你將1337改成1338，突然間就能看到別人的私訊、訂單紀錄或其他私人資訊。這個簡單的修改就能讓你像電影裡的駭客一樣，透過改動一個數字獲得$500的報酬。根本問題是開發者忘記了一個基礎的安全檢查：「這個登入的使用者被允許看到這些資料嗎？」這個遺漏就成了你的金礦。

XSS（跨域指令碼）是另一個容易上手的漏洞。你可以在任何文字框、搜尋列或評論區輸入 `<script>alert('XSS')</script>`。如果螢幕上彈出警告框，表示你找到了反射型XSS漏洞。如果這段程式碼被系統保存並顯示給其他使用者，則是更危險的儲存型XSS，賞金通常也更高因為影響面更廣。這類漏洞之所以普遍存在，源於開發者對使用者輸入的天真信任——就像把剪刀交給蹣跚學步的孩子一樣。

進行實際測試的時候，Burp Suite Community（免費版）是必不可少的工具。它能夠攔截瀏覽器發出的每一個HTTP請求，讓你在資料到達伺服器前進行修改、重放或測試不同參數。有了它，你基本上就掀開了表面看到了背後的整個系統架構——每一個表單提交、每一個API調用都在你的控制中。沒有Burp Suite幾乎無法從事有效的漏洞賞金工作。

策略上，初期應該避免直接挑戰Google這樣的巨頭。轉而選擇較小的、只有10個已解決報告的程序。這類新程序中容易發現的漏洞還沒被其他獵人搶走。一次專注一種漏洞類型——例如花一週時間在某個應用上反覆尋找IDOR漏洞。透過這種集中訓練，你會開始察覺程式碼中的規律，測試速度也會加快。同時要認真閱讀HackerOne上的公開報告，因為每份報告都是他人無償為你展示的案例。你能學到如何撰寫不會被駁回的報告、理解嚴重漏洞與低嚴重漏洞的評估邏輯。甚至可以直接複製成功報告的格式——漏洞賞金領域沒有抄襲警察。

初期挫折是常態而非例外。第一份報告很可能會被標記為Duplicate（他人已提交）、Formative（有趣但不付費）或N/A（你測試了權限說明外的部分）。這完全正常且在預期之內。常見的失敗模式包括：沒有仔細閱讀權限說明導致浪費5小時在行銷網站上、撰寫沒有明確重現步驟的垃圾報告導致公司無法驗證、在生產環境中蠻橫地測試而搞砸了功能，或在一次拒絕後就喪失信心放棄。只要你避開這些常見陷阱，你就已經領先了一半嘗試者。關鍵是學習、調整、再試一次。

投入時間層面，從零基礎開始預計需要20-50小時（平均30小時）才能獲得首筆收入。運氣好的人可能5小時就成功，有的人則需要幾個月，但大多數人在投入30小時的學習和失敗後能獲得第一個$200的報酬。突破這個心理障礙後，一切變得簡單得多，因為你開始能辨識程式碼的潛在漏洞。收入階級分佈明確：初級獵人每個漏洞賺100-500美元，累積若干漏洞後可升到中級級別（1000-5000美元／漏洞），而全職投入多年的頂尖人物在Google等大公司發現嚴重漏洞能獲得50000美元甚至更高。你不會在下個月辭職，但如果保持紀律，幾個月後兼職月入500-2000美元完全可行。

學習資源上，PortSwigger Web Security Academy是絕對必讀，完全免費且質量超越大多數收費課程。完成後你的知識將優於80%的初學者。PentesterLab的進階實驗、TryHackMe的漏洞賞金路徑，以及YouTuber如InsiderPhD和Nahamsec展示的真實案例都是極佳補充。

法律框架是最後但最關鍵的考量。漏洞賞金是「獲得公開許可的合法駭客行為」，只能在擁有明確賞金政策的程序上進行。隨意測試沒有賞金計畫的網站是犯罪行為。永遠不要超出權限範圍、永遠不要攻擊其他使用者、必須逐條閱讀並遵守程式政策。越過這道線，身份立刻從合法安全研究者變成罪犯，後果是被逮捕。