![]()
一个开源项目作者把自己架在火上烤。Kirbus开发者Kirbus在GitHub发了个挑战帖:我搭了台"安全"服务器,漏洞明摆着,谁能黑进去,100美元拿走,外加LinkedIn公开致谢。这价钱连顿像样的火锅都不够,但48小时内,他的评论区涌进了200多条回复。
100美元的阳谋
Kirbus的算盘打得精。他管这叫"Hack-Me Challenge",规则简单到近乎粗暴:代码全开源,pip直接装,连攻击入口都懒得藏。用他自己的话说,"我不是有钱人",但"炫耀权"(bragging rights)这个附加奖品,精准戳中了安全圈那批人的G点。
这招在营销里叫"负向证明"。就像餐厅敢把后厨直播给你看,Kirbus敢把自家服务器当成靶子。100美元是钩子,LinkedIn背书是鱼线,真正的鱼是GitHub上那串star数和 issue 区的活跃度。开源项目冷启动最难的是信任,他反向操作:你来打,打穿了我就认栽,打不穿我的代码自然镀金。
但风险也明摆着。2023年Log4j漏洞爆发后,"故意留后门"这顶帽子能压垮一个项目。Kirbus的应对是把"攻击向量"(attack vectors)这个词直接写进挑战书——不装,漏洞确实存在,欢迎来搞。
开源社区的钓鱼博弈
![]()
评论区很快分成了两派。一派是跃跃欲试的猎人,另一派在算经济账:100美元除以投入的时间,时薪可能低于麦当劳后厨。但猎人们不在乎,他们要的是Kirbus那条LinkedIn动态的@位,这在安全招聘季相当于免费背调。
Kirbus的代码仓库成了现场直播。他放出的安装命令只有三行,pip install kirbus,然后 kirbus --handle 启动。这种极简入口设计本身就是筛选器:能看懂的人不需要教程,看不懂的人不是目标用户。安全圈的行话叫"低门槛,高天花板",他把这个逻辑反过来用——高门槛的漏洞,低门槛的参与。
有个细节被很多人忽略。他在规则里写了"some significant attack vectors open",用的是复数。这意味着要么他留了多个后门,要么核心架构本身有系统性缺陷。无论是哪种,都是在邀请白帽子做免费代码审计。传统漏洞赏金平台如HackerOne的中介费抽成15%-20%,Kirbus用100美元和一杯咖啡的时间成本,绕过了整个中间商。
从靶场到社交货币
挑战发出72小时后,Kirbus的GitHub个人主页访问量涨了400%。LinkedIn那条动态收获了87个赞,12条来自安全团队负责人的评论。没人公开宣布攻破,但私信区的情况只有他知道。
这种模式不是他首创。2019年,Cloudflare搞过类似的"漏洞赏金游戏",但那是大公司背书。个人开发者玩这手,赌的是社区信用的一次性变现。Kirbus的赌注更小——100美元,但回报的结构更野:如果服务器被攻破,他修复漏洞;如果没被攻破,他收获"未被攻破"的口碑。两头都是赢,除了那100美元可能真的付出去。
![]()
有个评论被顶到了前排:"你这服务器要是真被勒索软件锁了,100美元够付赎金的零头吗?"Kirbus回复了一个笑哭表情,没正面回答。这种模糊性本身就是设计,留足解读空间,让讨论持续发酵。
炫耀权的定价难题
安全圈的"炫耀权"从来没有统一汇率。Pwn2Own黑客大赛的奖金池常年在百万美元级别,但选手更在乎的是现场举起那块写有"MASTER OF PWN"的牌子。Kirbus把这块虚拟牌子标价100美元,本质是在测试开源社区的注意力折价率。
他的代码仓库里有个隐藏彩蛋。README最底部有一行小字:"如果你找到了这里,说明你已经比90%的参与者更认真。"这种游戏化设计贯穿整个项目,把安全审计变成了解谜游戏。GitHub的star数从挑战前的127涨到了现在的683,增速曲线在挑战发布后24小时达到峰值。
但隐患也在累积。有用户在issue区质疑:如果攻击者利用漏洞做了超出"挑战范围"的事,比如横向渗透到他个人其他服务器,责任怎么算?Kirbus的免责声明写在GitHub仓库的LICENSE文件里,字体大小和代码注释一样,没人保证有人真的读过。
Kirbus最近一次更新是在18小时前。他贴了一张服务器日志截图,显示过去24小时有来自17个国家的147次连接尝试,其中3次被标记为"潜在利用行为"。他没说是否有人成功,也没说那100美元还在不在他账上。
下一个尝试者会是谁?
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.