动态大学辍学的我如何在质疑中成为微软专业找bug的赏金猎人

【大学辍学的我，如何在质疑中成为微软专业找 bug 的赏金猎人】我跟 bug 赏金工作的缘分始于 2015 年初，当时我刚收到人生中第一笔官方赏金，没想到在这行一干就干到了今天。我发现的第一个 bug 是 Office 365 Outlook 中的 XSS 漏洞；2015 年底，我又在火狐浏览器里发现了自己的第一个浏览器有效 bug。这段经历为我打开了新世界的大门，之后我开始收敛心神，专注于给浏览器“挑毛病”。 过去五年来，我完成了从大学辍学生到助理系统开发者、再到网络安全工程师的职场蜕变，最后拿到了如今这份微软浏览器漏洞研究员的职位。这样的发展简直如梦似幻，连我自己都很难相信。 在参与 bug 赏金活动过程中，我个人走过的最大弯路其实来自思想意识。 我之前一直觉得给浏览器找 bug 的本事不足以让自己在网络安全领域找到一份像样的工作。必须承认，浏览器 bug 研究属于网安领域内的小众方向，这种小众性也加剧了我的错误判断。我早期接触过的其他 bug 赏金同行大多是从 Web 应用程序安全起步，并一路坚持下去的，所以对自己这种痴迷于浏览器安全研究的路线，我实在是没什么信心。 但事实上，浏览器安全属于一块小而美的利基市场，我完全有资格在主要浏览器开发商那里拿下相应的职位。如今，我已经在微软浏览器团队工作一年有余，日常工作经历早就让我放下了对自己的怀疑情绪。所以在这里，我想回顾一下当初的错误，聊聊怎么为如今这份工作提前做好准备。 当初的我从来没想到自己能进入浏览器安全团队，所以一直没考虑过怎样才能保护浏览器安全。当初我找寻 bug 的主要方法就是多阅读关于浏览器和安全设计的资料，然后手动测试自己的猜测。这种方法虽然极为耗时、效率低下，但挺适合我——整个过程有点像冥想，可以说非常沉浸。如果运气不好，我也能学到关于最新 Web API 的知识；如果运气好一点，那我没准就找到了一个有趣的安全漏洞。这简直就是双赢，唯一的问题就是花费的时间有点多。