Hack the Bank 2.0：面向银行的私有漏洞赏金案例研究

Hack the Bank 2.0 案例复盘：HackenProof 与乌克兰银行 PUMB 合办为期两周的私有漏洞赏金活动，20 位受邀研究员提交 50 多份报告，其中包含严重漏洞。

搜索与分析引擎公司 Elastic 在 AWS、Azure、GCP 上运行约 5 万台服务器。此前团队已用 Nuclei、naabu、httpx 等开源工具，但规模化运维吃力，BitSight、SecurityScorecard 等旧方案噪音大。转向 ProjectDiscovery Cloud 后，14,500 个外部资产 5 分钟内完成扫描，原本数天的工作得以分钟级完成，并节省大量人工分诊时间。

MSP 软件商 ConnectWise（旗下 43+ 产品）此前依赖企业级方案加自定义脚本，扫描碎片化、规则维护负担重。采用 ProjectDiscovery 企业版后，1 万个资产的扫描时间从 2 天缩短到 15 分钟，覆盖 63 个 AWS 账户、2 万多实例，自动化检测加快事件响应，并免除了自维护安全脚本的负担。

支付基础设施公司 Paddle 面临攻击面扩张与 PCI DSS、SOC 2 Type 2 合规压力。此前靠 Nuclei、Subfinder 手动扫描、流程碎片化，新资产上线无人知晓，存在子域名接管风险。采用 ProjectDiscovery 后实现资产管理集中化、扫描自动化与自定义合规检查，漏洞发现时间从数天缩短到数小时，并通过 Jira 集成减少事务性工作。

介绍漏洞披露政策（VDP）的定义与商业价值：欧盟 CRA 与 NIS2 已将其列为合规要求，VDP 决定漏洞是由研究员私下报告还是公开曝光。文章解析政策各章节的关键决策、政策与计划的区别，并提供可免费套用的模板。

HackenProof 推出一个支付平台，用于在正式漏洞赏金项目之外向研究员支付报酬：企业存入资金，平台负责协议、KYC、合同和付款流程。