1）坚持基础知识
我的第一个个人经验是坚持基础知识，我知道很多人想学习高级的漏洞赏金概念，但是掌握诸如 OWASP top 10 这样的基础知识会给你极大的信心，相信我，我只是通过掌握我的基础知识来申请实习的。
2) 每天阅读HACK学习安全博客和 POC
现在出去询问任何专业的安全研究人员，他们会说获得赏金的第一件事就是阅读博客和观看 POC，这个人帮助我获得了很多赏金和名人堂，你只需要从中得到的是错误赏金提示和查询发布在博客中，这就是我通过我的 Youtube 频道解释 N 个错误赏金博客的原因。仅仅通过观看我的博客和 POCS，我的许多订阅者就获得了奖金和名人堂。
如果您想要包含几乎所有漏洞的博客和 POC，请完整观看此播放列表，我已经发布了近 70 个博客和 25 个 POC。
公开披露的博客： https://youtube.com/playlist?list =PLjMPTVLsJk7l2WE9cpelqUWcLCpqrz-TG
POC：https://youtube.com/playlist? list=PLjMPTVLsJk7kQa4yMwWTR0iub-ZNPPBO6
3) 了解应用程序的工作原理
当我说这一点时，我提到的是，利用业务逻辑缺陷。一旦您了解应用程序中的所有功能如何工作，您就可以轻松地从其他安全研究人员中脱颖而出。这个方法帮助我获得了很多赏金和名人堂。为此，您只需使用BurpSuite手动测试所有功能，这应该是 recon 的一部分。您可以轻松地在侦察阶段本身找到漏洞。
4）网络和社区：
您可以通过 Twitter、Instagram 关注安全研究人员，您可以提出疑问和他们的方法，并从他们那里获得错误赏金提示，并加入 Discord 和 Telegram 社区从其他人那里获取错误赏金提示，如果您有疑问，也可以将其发布到那里！
如果您在错误赏金或升级过程中发现任何困难，很多人会帮助您，最后，参加世界各地的网络安全会议，每个人都有不同的知识和技能，这将帮助您改善您的漏洞赏金之旅
5）每天保持更新：
黑客攻击是一个日常学习过程，每天都会有新的 CVE，并且会发现零日漏洞，了解许多新的 CVE（例如 Log4j shell）非常重要。
你可以通过关注黑客新闻 Instagram 账号和关注安全研究人员来关注这一点，这里提到这一点的目的是在接受采访时，他们会问与最近的 CVE 和 Zerodays 相关的问题。如果您想查找 CVE 的漏洞，可以使用 Metasploit 或 Google 黑客数据库。
结论：
耐心和一致性是关键！你可以很容易地获得有效的漏洞，但是在初始阶段获得赏金会有点困难，对于我来说，我花了8个月才获得我的第一个赏金，保持一致，每天练习和学习，你很快就会成为一个成功的漏洞赏金猎人。