前言

在网络攻防的世界里存在两种力量——攻击与防御。攻击者通常聪明且狡猾，潜伏在黑暗的角落，利用技术手段对世界上的各种科技设备、系统、互联网等发起攻击，使用攻击窃取到的信息、数据完成违法的交易；与之对抗的力量来自防御者，他们不断的修复各种网络风险漏洞，用来抵挡攻击者们无孔不入的渗透。

在防御者之中，有一支特别的队伍，他们被人们称之为“白帽子”，他们通常掌握着高超的攻击技术，却坚守在正义的一方，成为防御者中不可缺少的宝贵力量。

白帽子会以“攻击者的视角”对企业网络安全建设发出挑战，他们会在法律、规范、制度与测试环境的制约下，对某些企业的设备或系统发起“模拟攻击”，然后将自己在过程中发现的漏洞情况报告给相关企业，指导企业对漏洞进行修复，防止犯罪攻击者们实施真正的“攻击”行为，保障企业安全。

所以，白帽子通常被认为是互联网的免疫系统。

但在这个攻与防的网络世界里，白帽子们常常夜晚工作的特性与高超的技术能力为他们蒙上了神秘的面纱，人们似乎对这个群体既充满敬意又存有顾虑，而这种神秘性与群体画像的模糊性不仅影响了公众对他们的看法，也为一些白帽子带来了困扰，比如他们为一些企业提交的漏洞并不能得到企业的认可。打破社会对白帽子群体认知的壁垒，是补天漏洞响应平台的一份责任，因此此份报告应势而生。

此份调研报告，是我们发起规模最大的一次对于白帽群体的调研，遍布全国34个省级行政区近2000名白帽子参与了本次调研。我们将调研结果整理成四个维度，共聚焦了白帽子群体学习生活，职业发展、职业期望、技术能力、社会价值以及他人的看法等30余个问题。在此份报告中，我们可以多角度立体的了解白帽子群体，并帮助白帽子们发现聚焦他们最关心的问题。

在此份报告中，我们发现白帽子是一群年轻富有活力的群体，他们热爱技术也渴望技术能力的提升，他们大部分人的偶像是像丹尼斯·里奇与肯·汤普生这样的技术先驱领袖，而且这样一群少年拥有极强的社会责任感与荣誉感，他们渴望通过“挖洞”得到自我价值的实现，渴望被人认可，打开这份报告，我们一同走进白帽子的世界。

走进白帽子的生活空间

白帽子这个称号似乎有一种神秘的力量，他们即让人向往，又让人畏惧。让人向往是因为他们在虚拟的网络世界中似乎无所不能；让人畏惧是因为他们的能力似乎无孔不入，渗透进网络世界的每一个角落。有人说白帽子都是少年郎，有人说白帽子都是技术宅，还有人说白帽子都是非主流。那么，这些“世俗”的眼光对不对呢？白帽子到底是一群什么样的人呢？

就让我们首先从白帽子个体特征和生活习惯开始，进入白帽子的精彩世界吧。

白帽子的基本情况

“年轻宅男”是白帽子群体的第一个显著特征。调研显示，“男同学”是组成白帽子群体的主要人群，超过半数的白帽子是95后。同时，白帽子人群的学历结构正在逐步提高，八成以上的白帽子拥有大专或本科以上学历，甚至硕士、博士群体的加入也已经不再罕见。

同时，“内行人”也正在越来越多的向白帽子群体聚集。调查显示，绝大多数白帽子具备一定的计算机学科基础知识，至少八成左右的白帽子来自IT、计算机、互联网和通信等信息技术相关学科，并且半数以上的已就业白帽子仍在从事IT、互联网等行业的工作。“跨界”挖洞的现象正在逐步减少。

白帽子的性别比例

调研显示，中国95.4%的白帽子是男性，男女性别比例高达21:1，女生在白帽子中属于绝对的稀有品种。

白帽子的年龄分布

根据调查结果显示，白帽子的年龄集中在90后和95后。其中，95后年轻人占到了白帽子群体的53.9%。85后只占该群体的10%，而85前的活跃白帽仅占全体总数的不到1%。

白帽子的地理分布

目前，中国白帽子的人口分布集中在华东地区（约占25%）、华南地区（约占20%）、华北地区（约占20%）、华中地区（约占10%）、和西南地区（约占10%），再向下追溯更加聚焦于广东，北京，四川，山东，上海，江苏等经济科技相对发达地区及一线城市。

白帽子的学历情况

调查显示，有超过8成的白帽子拥有专科或本科学历，但有约4成白帽子为在校学生。其中，高中或初中在校生约占10%。总体而言，白帽子的学历水平正在不断提高，硕士、博士等高学历人群在白帽子群体中也已经不再罕见。

从白帽子所学专业来看。有将近80%的人学习的专业与计算机学科相关，如计算机科学与技术、网络工程、软件工程等。其中，来自信息安全专业的同学最多，占比为26.1%。可以看出，白帽子的专业化程度越来越高。外行挖洞，跨界挖洞的情况已经越来越少。

 

白帽子的生活习惯

从生活上来看，白帽子是一群“爱玩不爱吃的单身夜猫子”。养成良好的生活习惯和找到自己的另一半是白帽子人生的最大课题。

白帽子的作息时间

作为一名白帽子，挖洞是生活的主旋律；作为一名技术宅，熬夜晚睡也是一种生活常态。调查显示，通常能在深夜12点前上床睡觉的白帽子仅有约51.2%，14.1%的白帽子常常通宵不睡。或许只有在深夜时候，白帽子们才能成为 “暗夜的正义使者”吧。

白帽子的饮食习惯

对于饮食，白帽子普遍不怎么挑剔：从来不在乎吃什么的白帽子超过35%，喜欢清淡饮食和快餐外卖的白帽子也分别多达25.4%和18.3%。真正能够自己下厨做饭，保持健康饮食的白帽子，仅有20%多一点。

白帽子的兴趣爱好

白帽子除了挖洞之外，同样拥有非常丰富的业余爱好，他们很喜欢打游戏，但是也很喜欢运动、音乐、旅行和追剧。

白帽子的情感状态

或许是因为挖洞的成就感远远超过了异性的吸引力，白帽子群体堪称单身狗俱乐部。接近60%的白帽子目前还是单身状态；虽然也有近三成的白帽子已经有了自己的女（男）朋友，但真正已婚、已育的白帽子仅有10%多一点。

已脱单比例如此之低，这与白帽子群体的年龄结构并不匹配。这或许与IT技术宅们普遍不善言辞，不善与人交流有关。不过好在白帽子们还普遍年轻，追求爱情还有时间！

走进白帽子的挖洞事业

白帽子风采展示：jkgh006

“成功不是将来才有的，而是从决定去做的那一刻起，持续累积而成”—jkgh006

刚刚了解了白帽子的生活，我们再来看看他们的工作与事业吧。总体来说，白帽子是一群爱学习，有追求，向往大城市生活的人；他们非常希望能够依靠自己的技术能力服务社会，改善生活。而第三方漏洞平台正是白帽子实现自己人生价值的重要舞台。

白帽子的职业发展

白帽子期望工作的城市

调查显示，北上广深等一线城市依然是白帽子们首选的发展城市。发达城市能够给予白帽子更多的就业机会，更大的发展平台，以及更加前沿的技术资讯。不过仍有15.4%的白帽子期望回到自己的家乡工作。

 

白帽子的就职情况

从就业行业来看，有超过一半的白帽子进入了IT、互联网等行业，这与白帽子人群的学业背景是基本相符的。不过，特别值得注意的是，来自教育、国企、政府及事业单位和金融领域的白帽子也不在少数。这在某种程度上也反映出相关领域信息化水平正在快速提高，因此才吸引了大量白帽子人群的就业。客观的说，来自特定行业领域的白帽子，由于更加熟悉相关行业的业务系统，因此也更有利于他们快速发现这些行业领域信息系统中的安全漏洞。

就网络安全领域从业经验来看，近80%的白帽子进入安全圈的时间为3年以下，其中31.2%的白帽子进入安全圈的时间小于1年，50.0%的白帽子进入安全圈的时间为1-3年；另外，也有14.7%的白帽子进入安全圈的时间为4-6年，进入安全圈工作6年以上的活跃白帽子只占群体总数4%左右。可以说，入圈6年以上的白帽子，真的就是名副其实的安全“老帽”了。

从收入方面开来，在已经毕业工作的白帽子中，月收入在8000-12000元的占比最多，达到了20%以上；其次是月收入5000-8000元的白帽子，占比为16.2%左右。下图数据在一定程度上反映出了白帽子群体的薪资基本水平，白帽子们可以作为参考，努力丰富自己，赢得与自身价值匹配的薪资。

特别的，在这些已经毕业工作的白帽子中，仍有约15.8%的白帽子是无固定收入的。这也在一定程度上反映出了部分白帽子的生活困境。

此外，因为很多学生群体的白帽子还没有参加实习或兼职工作，也都处在“无固定收入”的状态。不过也有20%左右的学生白帽子每月能获得3千-8千元固定收入，我们还发现，有6%左右的学生白帽子每月能够获得8000-20000的可观收入。

白帽子的就业期望

因为参与本次调研的白帽子有近一半为学生群体，所以，本文也特别对学生群体白帽子的求职情况进行了简单分析。

调查显示，45.5%的白帽子没有清晰的目标岗位，以及职业规划，非常需要进行就业指导；31.3%的学生白帽子有相对清晰的职位选择和职业发展规划，认为自己不需要就业指导；。还有23.2%的白帽子对就业的概念很模糊。

从学生群体的白帽子对找工作的态度来看，有10.2%的白帽子是惧怕找工作的，31.3%的白帽子没有明确的态度；15.9%的白帽子暂时不找工作；有42.6%的白帽子不恐惧找工作。

当被问及毕业后希望从事哪些方向的工作时，87.1%的学生白帽子表示希望毕业后能继续从事网络安全相关工作，这表明，网络安全工作对白帽子还是很有吸引力的，而且大部分白帽子也相信从事网络安全工作会有很好的发展前景。

 

对于学生白帽子群体来说，最有吸引力的网络安全工作岗位是渗透测试工程师，88.6%的白帽子希望能够从事这一岗位，这也是和白帽子挖洞工作性质最为接近的岗位。排名第二和第三的岗位分别是测试工程师和安全运维工程师。

白帽子的挖洞技能

挖什么样的洞，为什么样的系统挖洞，不同的白帽子会有不同的选择。下面，我们就来看看白帽子们是如何做出自己的选择的。

目标企业与目标用户

“爱挑你的毛病，很可能是因为她爱你”。这句话似乎也非常适合于白帽子群体。

调查显示，超过半数的白帽子会更倾向于选择给自己喜欢的企业挖洞，而选择给知名企业，或使用过其产品的企业挖洞的白帽子也都接近半数。真正会专门选择给自己不喜欢的企业挖洞的白帽子仅占白帽子群体的12.4%。白帽子选择的挖洞对象原因，很大程度上是因为他们喜欢这些企业或尊敬这些企业。一个企业，越是受到白帽子的关注，被白帽子报告的漏洞数量越多，就越是说明这个企业或这个企业的产品深受白帽子们的欢迎。

从白帽子关注的行业来看：互联网行业排名第一，关注度为66.3%；其次是教育行业，关注度为54.1%；排名第三的事政府机构和事业单位，关注度为49.3%。

擅长挖掘的漏洞类型

在各种类型的安全漏洞中，白帽子们普遍擅长挖掘的漏洞还是传统的Web漏洞，擅长比例高达95.9%；其次是操作系统漏洞和Android移动应用程序漏洞，不过擅长此类漏洞的白帽子比例一下子下跌到13%-14%。其他几类应用环境下的安全漏洞，擅长的白帽子比例均低于10%。

可见，当下白帽子们的“偏科”现象比较严重，对于移动互联网、物联网等领域的漏洞挖掘能力仍然普遍不足。而实际上，企业对移动互联网、物联网等领域安全漏洞的关注正在持续上升，在这些应用领域有特长的白帽子可能会得到更好的发展空间。

在各类Web安全漏洞中，白帽子们最擅长挖掘的是SQL注入漏洞，擅长比例高达71.7%；其次为XSS漏洞，擅长比例为63.7%；逻辑漏洞排第三，擅长比例为52.9%。

白帽子的漏洞提交量

白帽子常常活跃在国内各大知名的漏洞平台以及各家企业的SRC。在这里，在接受调研的白帽子中，有超过半数的白帽子为这些平台或SRC提交过10个以上的漏洞，值得一提的是，有8.0%的白帽子提交过超过500个漏洞。堪称“洞霸”！

白帽子偏爱的奖励机制

对于自己的挖洞成果，85.9%的白帽子还是很期望获得现金奖励；同样有50.5%比较重视荣誉。下图给出了白帽子们偏爱的奖励机制分布。客观的说，希望通过自己的挖洞特长获取收入并改善生活，是白帽子们的基本需求。而第三方漏洞平台为白帽子建立的奖励机制和厂商提供的奖金，都非常有助于吸引和鼓励白帽子们提交更多的漏洞。

白帽子的自我提升

补天平台数据显示，虽然每年白帽子帮助企业发现漏洞的数量令人欣慰，但这些漏洞被评定为“高危”的个数并没有让我们感到乐观，大部分白帽子还苦于找不到有效提升技术能力的方法，耗费了大量的时间徘徊在基础难度漏洞挖掘的沼泽。所以，自我能力的提升对于绝大多数白帽子来说，还是非常有必要的“修行”。

学习方式与花费

大部分白帽子的专业技术知识源自网络资料，他们或是泡在一些技术学习社区，或是找到一些视频课程，但大部分都是自学。调查显示，85.3%的白帽子会通过上网自学实战型攻防知识。当然也有一些幸运的白帽子会遇到一些前辈的悉心指导，但数量不多，占比仅为36.8%。而真正能够通过学校课堂学习获取实战型攻防知识的白帽子，占比仅为16.8%。

总体而言，中国当前的教育体系尚不足以实现白帽子攻防人才的批量化培养，网上自学和拜师学艺仍是最主要的白帽人才产出方式。

在自学的道路上，约三分之一（36.6%）的白帽子愿意为了自己的技术能力提升投入5000元以上的成本。虽然有些白帽子还没有固定的收入，但他们仍愿意对自己进行高额投入，这很好的体现了他们追求技术的热情和决心。不过，总体而言，缺乏社会投入和自我投入不足仍然是制约白帽子能力提升的重要难题。

知识的扩充渠道

从白帽子扩充自己攻防技术知识的渠道来看，当下最受白帽子欢迎的平台是Freebuf，69.3%的白帽子的选择在这里学习；排名的第二是i春秋，被66.6%的白帽子选中；还有55.1%的白帽子通过相关博客来提升自我。下图给出了白帽子自学平台的选择情况。

从白帽子希望通过平台落得知识类型的来看，86.8%的白帽子希望获得漏洞案例分析；81.5%的白帽子希望获得技术干货；67.3%的白帽子获得网络安全实时资讯。

挖漏洞的奖金及使用

通过挖洞，白帽子到底能够获得多少收入呢？调查显示，超过60.7%的白帽子通过提交漏洞每月获得的奖励在300元以下， 20%的白帽子可通过提交漏洞获得1000元以上的奖励。其中，仅仅有不到10%的白帽子可以每月获得3000元以上的奖励，而这些白帽子大多参与了“众测”项目。很多白帽子反映漏洞越来越难挖，这与国内网络安全建设愈发受到重视有很大的关系，“高价值”的漏洞对技术的要求越来越高，这也是对白帽子群体的技术水平发起的挑战。

总体而言，真正能靠挖洞来养家糊口的白帽子，目前来说还只是极少数，但高水平白帽子通过挖洞月入数万也已经不是什么新闻了。白帽子群体的能力差距仍然十分悬殊。

活跃的漏洞平台

目前，在国内，白帽子提交漏洞的主要渠道有三类：第三方漏洞平台、国家漏洞库CNVD和企业自建的SRC。调查显示，白帽子最为活跃的平台是第三方漏洞平台，87.3%的白帽子会选择第三方漏洞平台；其次是企业SRC，而选择直接向CNVD报告漏洞白帽子数量最少。造成这种情况可能的原因之一，是第三方漏洞平台和企业SRC能够向白帽子提供更多奖金并能和白帽子们保持良好的互动。

 

了解白帽子的自我期待

如果问10个白帽子，未来的职业理想或职业发展规划是什么，有6个会回答你他们更想成为技术领域的资深专家，大约3个会告诉你他们想向管理方向发展，只有1个不想被职场束缚希望成为自由职业者，白帽子们果然是对技术高度充满理想的追梦少年。

白帽子风采展示：带头老哥

“我不是世俗意义的好孩子，但幸运的是我找到了热爱的事情，在成为一名白帽子的道路上得到了大家的认可，要感谢的人有很多，但最感谢那个愿意为梦想拼搏的自己。”—带头老哥

白帽子对职业未来的期待

对大部分白帽子来讲，未来能够成为技术领域的专家（31.5%）或资深工程师（27.8%）是非常值得期待的事情，有约四分之一的白帽子更倾向于向管理岗位是发展。

从未来3-5年内，白帽子期望的薪资范围的来看，32.9%的白帽子希望获得3万元以上。

白帽子对漏洞酬金的看法

虽然帮助企业发现漏洞是自发行为，但73.4%白帽子们仍然希望能够得到企业的奖励认可，另外26.6%的白帽子为企业提交漏洞只是自己的兴趣和责任，并不期待奖励认可。

白帽子对自我价值的认知

在白帽子眼中，自己挖洞所体现的社会价值，不单单为企业减少了安全隐患，同样维护了互联网用户个人信息的安全，为国家的网络安全建设贡献了自己的力量。

感受白帽子的社会认同

作为一种特殊的“职业”，白帽子的工作往往不被理解。其实，白帽子也同样期待得到社会的认同，这种认同来自企业和家庭两个方面：得不到政企机构的认可，自己的努力就没有了意义；而得不到家庭的认可，自己的努力就不会带来幸福。

那么，在企业和家人的眼中，白帽子的工作到底是个什么样子呢？调查显示，企业远比家人更懂白帽子！

白帽子风采展示：咕咕急

“入行5年，认识了很多人，经历了很多事，当初那个脚本男孩不见了，剩下满脸胡渣的老男人。我喜欢寻找问题，抱着一颗谨小慎微的心去发掘可见的一切，这是我的工作，也是我生命的一部分。”

企业对白帽子的看法

曾经，有些人会误以为白帽子的挖洞工作完全可以由漏扫工具或机器代替。调研显示，时至今日，持这种想法的企业安全管理人员占比仍然高达27.5%。尽管66.7%的人能够正确认识人工挖洞的不可替代性，但这一调查结果仍然令人十分堪忧。

那么，在企业眼中，白帽子提交的高危安全漏洞到底值多少钱呢？调查显示，愿意为高危漏洞向白帽子支付1000-3000元酬金的企业最多，占比为29.1%；其次是3000-10000元酬金，占比为25.2%；特别的，有22.0%的企业愿意为单个高危漏洞向白帽子支付10000元以上的酬金。这一调查结果显示：企业对白帽子提交的高危安漏洞的价值认可度还是比较高的。

家人对白帽子的看法

那么，白帽子的工作是否能够得到家人的理解呢？

调查显示，近一半白帽子的家人并不是很清楚他们在做的事情，也不了解白帽子们所做事情的社会价值；16%以上白帽子的家人对白帽子的工作表示不太理解或非常不理解；而真正表示非常理解的白帽子的家人，占比仅为13.4%。事实上，在绝大多数年轻白帽子的家人眼中，白帽子仍然是每天守着电脑不好好学习的“网瘾少年”。

可以看出，白帽子的工作，要得到整个社会的认可，还有很长的路要走。

结尾

本次《2018白帽子人才调研报告》历时两个月，经过问卷设计、发放、回收、分析、撰写、设计等6个环节，最终得以诞生，并呈现在您的面前。我们非常荣幸能够成为同行业唯一一家聚焦白帽子群体生态的机构。

补天漏洞响应平台与白帽子们已经携手相伴了将近6个年头。协助维持白帽子群体的良性发展是我们应尽的责任与义务，而我们也一直在为之努力。

希望这份《2018白帽子人才调研报告》能够为白帽子们关心的问题给出指导性的建议，同时能使社会各界人士正确认知白帽子群体，并认可他们所做的事业为社会带来的价值和意义。

附录 补天漏洞响应平台

补天漏洞响应平台，成立于2013年3月，是专注漏洞响应的第三方公益平台。平台通过充分引导和培养白帽子力量，实现实时、高效的网络安全漏洞的挖掘与响应，积极守护、推动网络安全行业的发展。

截至2018年12月，补天漏洞响应平台注册白帽子已达50000余名，发现漏洞数超过30万个。被公安部、CNCERT（CNVD）、中国信息安全测评中心（CNNVD）分别评定为技术支持先进单位、漏洞信息报送突出贡献单位和一级技术支撑单位。