酷应用

搞安全的白帽子虽然没什么钱，但是尊严还是有的！

观点作者：尖刀制造 2017-04-05 10:27:27

忍了又忍，内心反复说服自己且又周旋几次，最后还是没兜住内心决定要写，我开腔是因为我知道，即便是我今天忍住不说，有一天我还是会忍不住吐槽出来。何必憋坏自己呢？

本人发表观点仅代表个人，与所处的公司职位、身份无关。

这就是近几天发生的奇葩事儿，大概是关于某SRC希望与我们建立合作，本来是大家合作双方共同携手的好事儿，但结果却出乎意料的让彼此觉得不满，最后落得不欢而散。 大概背景如下： 国内某金融SRC平台，希望吸引更多的白帽子来参与到他们的平台中来，便尝试与网络尖刀一起洽谈合作，内容其实很简单，就是网络尖刀成员入驻到该平台，更多的发现安全问题提交漏洞，而该平台会在漏洞方面会给我们一定的“团队待遇”。这不是什么稀奇的合作模式，其实很多SRC平台和我们都有着这样的合作，因为是团队去合作的，肯定在某些业务上面会多少给我们一些团队方面的关照。但是具体落地下来的细节，就一层层觉得有意思了。 初次见面洽谈的合作模式大概如下：

我们以团队与该SRC签订合作，我们成员发现的漏洞奖励是3倍，以个人签约的则只有1.5倍；
我们团队有一位小伙子，是今年他们SRC的月度第一（年榜目前也第一），表现优秀所以要单独签约，但是签订的是只有1.5倍的这个倍率；

第二次是隔日的交流我和凌风一起，内容基本没变：

除了上面的合作内容，我们要提交一个高危漏洞作为敲门砖，另外还是再次纠结了我们团队这位“表现优秀”的小伙子不能计入团队奖励的事情；
当晚凌风一宿没睡，我们也确实找到了不少问题，坐等合作落地事宜；
探讨我们小伙伴经常“误”把漏洞提交到同集团下其它平台问题，询问能否给予一个完整范围，我们内部通知，答案是不行的（当然后面发给了我们很小一部分）。

第三次是线上交流，就在今天：

首先对话是纠结到了我们又一次把漏洞提交到他们认为提交错了的平台（后来发现那个漏洞还是我提的，因为域名和内容公司主体，我提交到了内容公司主体下）
合作内容出现了多处变化，原本是我们的那位月度第一的成员不能以团队签订，享受团队待遇，变成了只要在该平台提交过漏洞的都不行，必须是没有在该平台提交过漏洞的ID才算；
更离谱的是这次细则变成了团队合作要求必须以一个“团队ID”提交，且只有高危漏洞才享受三倍奖励；

而提出这些让矛盾激化的话题点更多导火索就在于一句：

对方团队合作的目的，是“发挥团队leader的号召力”，带动不来的挖，现有的标准不一样。 实在想不懂的幺蛾子病

内容表述中“发挥团队leader号召力”，是不是间接理为对方心里提高的奖励本意就是拿我们团队的管理层当“推广员”来用的推广费？

现有成员单独签约，和团队的标准不一样勉强理解，但是先加入的成员以后拿1.5倍的待遇，反而是后来提交的在这里受到更多的重视拿3倍，是否有考虑过在你刚刚成立时那些支持你的小伙伴的感受？

历史提交的人不计在内，一个团队要行多个标准，是否也间接的把白帽子群体在你们的内心里分了三六九等做了等级区分？

接触下来三次对话，每次都在修改合作内容，作为一个大型厂商的BD口人员，如果你们对待平等的公司合作也会是这样的态度吗？

任何时候大部分的合作都是从双方相互尊重共同建立起来的，然而对于不同的白帽子不同对待，过河拆桥把曾经的支持者和新血液作为明显划分，明显有失公平，这种行为本身对白帽子就是不尊重的。我没办法欺骗我的成员任由一个合作，让我们的小伙伴内部搞区分特殊，背后暗箱操作把曾经提交过漏洞的小伙伴孤立开来；更无须让已经提交过漏洞的小伙伴，自己换个ID，再通过团队账号“变通”换成一个新ID提交过来，这些都是没意义的。 行业里还有很多病

在圈子内虽然是相同的漏洞，某些厂商针对安全圈“元老”的ID提交出来，和白帽子提交出来已经做了区别对待，并且做了区别奖励，这原本用于激励和奖励的感谢，已经变成了某些厂商猜漏洞提交者的心里接受预期的“封口费”；

某些漏洞你提交了，某些厂商预算少，有些动了歪脑筋的就一个“漏洞重复”也不告诉你到底和哪一条，哪一个重复了就这样的给白帽子打发了；

漏洞是不是高危，影响到底怎么样，不同业务的两个漏洞亦或者多个漏洞，经常变成一个漏洞对待；

明明是正常开了SRC，发现了你的敏感漏洞，发现了就提交给你，没干什么坏事儿，你要我地址，我欣喜若狂的给了，可是等来的却是一记妖妖灵。。。

这两年在各种SRC平台快速崛起的同时，很多不公平的事情就这样在安全圈里发生着，很多行业元老遇到问题时SRC考虑公关风险“不敢得罪”，看了看我们这种还算有点规模的“团伙”，有时候也得过且过给个聊天沟通的机会，然而，那些初入安全行业的小伙子们呢？他们真的会有这么好的运气吗？不要在合作之外再去搞什么更复杂的特殊，这样合作，我可以不做，搞安全的白帽子们虽然没什么钱，但是尊严还是有的！