在网络安全日益受到重视的今天，越来越多的“白帽子”通过合法合规的方式参与漏洞挖掘，不仅锻炼了技术，还能获得实实在在的奖励。作为国内领先的漏洞响应平台之一，补天漏洞响应平台（https://www.butian.net） 因其丰富的厂商资源、快速的审核机制和丰厚的奖励体系，成为众多安全爱好者尤其是新手的首选“练手场”。
但对于刚入门的新手来说，面对补天平台琳琅满目的项目和复杂的漏洞类型，常常会感到迷茫：“我该从哪里开始？”“做什么能快速上手？”“怎么才能赚到第一桶金？”
本文将为你详细拆解补天漏洞响应平台新手最适合做的5件事，助你从“脚本小子”迈向真正的安全研究员！
注册账号并熟悉平台规则（第一步，别跳过！）
在动手挖洞之前，务必先了解平台的规则和规范。这是避免踩坑、账号被封的关键。
注册账号
补天平台注册相对开放，但建议使用真实信息，便于后续身份认证和奖金发放。阅读《用户协议》与《测试规范》
禁止拖库、删改数据、大规模扫描等恶意行为。
漏洞验证以“证明存在”为原则，禁止内网渗透或造成服务中断。
提交漏洞前，务必确认是否在收录范围内。
加入官方QQ群
补天有多个官方交流群，加入后可以及时获取活动通知、审核答疑和漏洞复现经验分享，是新手快速成长的“捷径”。
从“0权漏洞”入手，积累初始金币
很多新手误以为只有高危漏洞才有价值，其实不然。补天平台对0权漏洞（即低权重或无权重网站的漏洞） 同样收录，并给予“荣誉币”奖励。
✅ 新手建议：
优先挖掘 XSS（跨站脚本）、CSRF（跨站请求伪造）、信息泄露、弱口令、目录遍历 等常见低危漏洞。
每提交一个有效0权漏洞，可获得荣誉币，5000荣誉币 = 1KB（1KB = 5元）。
平台常举办“提交10个0权漏洞送礼品”活动，是新手快速积累金币、兑换周边的好机会。
💡 小技巧：使用 FOFA、Hunter、Shodan 等网络空间测绘工具，搜索“title="登录"”、“port=8080”等关键词，快速定位目标。
参与专属SRC项目，冲击高奖金
当你积累了一定经验后，就可以尝试加入企业专属的 SRC（Security Response Center）项目。
✅ 如何操作？
进入【项目大厅】，选择感兴趣的厂商项目（如金融、电商、教育类）。
阅读项目测试范围（In-Scope）和排除范围（Out-of-Scope）。
报名参与，获取资产列表，开始针对性测试。
✅ 高价值漏洞类型推荐：
SQL注入（中高危，奖金500~5000元）
文件上传漏洞（可能导致RCE，奖金1000元起）
反序列化漏洞（Java/PHP常见，奖金2000元+）
SSRF + 内网探测（结合业务逻辑，易出高危）
越权访问（水平/垂直越权，常被忽视但价值高）
📌 案例参考：有白帽子通过补天平台，仅用2个月时间挖掘多个中高危漏洞，月收入突破万元。
善用工具+手工结合，提升挖洞效率
虽然自动化工具能提高效率，但补天平台明确反对大规模扫描，建议以手工测试为主，工具为辅。
✅ 新手必备工具清单：
| 类别 | 推荐工具 |
|---|---|
| 信息收集 | FOFA、Hunter、Arl灯塔、Sublist3r |
| 端口扫描 | Nmap、Masscan |
| 目录爆破 | DirBuster、dirsearch |
| 漏洞检测 | Burp Suite、SQLMap（谨慎使用）、Xray |
| 浏览器插件 | HackBar、Wappalyzer |
💡 建议：先用工具收集资产和指纹，再通过Burp Suite进行手工抓包分析，避免误伤系统。
兑换奖励+打造个人品牌
在补天平台上，你的每一份努力都会被“量化”：
KB币：可用于兑换京东卡、平台周边、技术书籍等。
积分与排名：提升个人Rank，进入“白帽名人堂”，增强行业影响力。
漏洞证明：可作为简历加分项，助力转型网络安全岗位。
✅ 进阶建议：
将挖洞过程整理成技术博客，分享复现思路。
参与补天举办的线上CTF或漏洞挑战赛。
积累一定成果后，可尝试转型为专职渗透测试工程师，年薪可达15W+。
挖洞不仅是赚钱，更是技术成长的加速器
对于新手而言，补天平台不仅是一个“赚钱”的地方，更是一个实战练兵、积累经验、建立人脉的绝佳舞台。从0权漏洞起步，逐步挑战高危漏洞，不仅能获得经济回报，更能提升自身在网络安全领域的核心竞争力。
记住：合规是底线，技术是根本，坚持是关键。
附：新手学习路线推荐（快速上手）
基础阶段（1-2周）
学习HTML、JavaScript、SQL基础
掌握Burp Suite抓包与重放
了解OWASP Top 10漏洞原理
实战阶段（1个月）
在补天/EDUSRC提交10个XSS或信息泄露漏洞
学习使用FOFA进行资产测绘
复现经典漏洞（如Struts2、Fastjson反序列化）
进阶阶段（3个月+）
掌握Python编写POC/EXP
学习内网渗透与权限提升
参与企业SRC项目，冲击高危漏洞
