1. 项目概述为什么SRC是新手安全从业者的“黄金矿场”凌晨三点我盯着屏幕上那个熟悉的“漏洞已确认奖励发放中”的状态更新泡面的热气在显示器前氤氲开。这不是电影情节而是我一个从机械专业半路出家的“野生”安全爱好者在某个大型互联网公司SRC平台提交的第一个越权漏洞通过后的真实场景。那笔四位数的奖金不仅付清了当月的房租更关键的是它像一剂强心针彻底打消了我“我到底行不行”的自我怀疑。从那时起我意识到SRC安全应急响应中心漏洞挖掘可能是当前环境下对技术新人最友好、反馈最直接、也最能建立正反馈循环的实战路径。很多人一听到“漏洞挖掘”、“黑客”就觉得高深莫测需要精通汇编、内核和复杂的逆向工程。但SRC挖洞尤其是针对Web和业务逻辑的漏洞挖掘其门槛远没有想象中那么高。它的核心魅力在于目标明确、规则清晰、反馈即时。你面对的是支付宝、微信、抖音、美团这些你每天都在用的真实业务漏洞评级和奖金标准白纸黑字写在平台上。你不需要去猜测一个模糊的“系统”哪里有毛病而是像玩一个解谜游戏规则和奖品都摆在那里关键在于你能否找到那条通关的路径。对于初学者而言这种“打怪升级”的体验感远比啃完一本厚厚的《渗透测试指南》却无处下手要来得实在。当然“友好”不等于“简单”。它要求你具备扎实的基础、敏锐的观察力和最重要的——耐心。这篇文章就是我结合自己从零开始踩过无数坑最终在多个主流SRC平台累计获得奖金超过六位数的经历为你梳理的一份全景式实战指南。我不会给你一堆空洞的理论而是带你走一遍完整的流程从心态建设、目标选择、信息搜集、漏洞挖掘、报告编写到工具链配置。我们的目标很明确让你避开我走过的弯路用最高效的方式挖到属于你的“第一桶金”。2. 心态与认知建设在开始技术之前先摆正你的“挖矿”姿势在打开任何扫描器之前我认为比技术更重要的是心态和认知。错误的心态会让你迅速受挫并放弃而正确的认知则是你持续前进的燃料。2.1 破除心理障碍你不是在“攻击”而是在“协作”很多新手最大的心理障碍是负罪感觉得自己在做一件“不好的事”。你必须彻底扭转这个观念。合法的SRC漏洞挖掘本质上是与企业的安全团队协作是一种“众包安全测试”。企业开放SRC就是公开邀请像你这样的安全研究员在既定规则内帮助它们发现自身安全团队可能遗漏的风险。你的每一次有效提交都是在帮助数亿用户的数据和资产变得更安全。这是一种双赢甚至是多赢企业、用户、你的良性生态。抱着“协作”和“建设性”的心态你的整个操作会更加规范、自信。2.2 接受“枯燥期”挖洞是99%的无效劳动1%的灵光一现我见过太多新手兴致勃勃地扫了几个小时没发现任何问题就断言“这个站没洞”、“SRC不好挖了”。这是最致命的误区。真实的漏洞挖掘其过程更像淘金。你需要用工具资产测绘圈定一片可能有金子的河床目标资产然后一铲子一铲子手工测试每个功能点地筛洗泥沙正常流量和无效数据。可能你筛了几天手里只有一堆普通的石头。但真正的老手知道金子就在下一铲子里。这个“枯燥期”是筛选从业者的天然门槛。我的经验是在锁定一个目标后至少投入8-12个小时进行深度的手工测试如果仍无收获再考虑切换目标。没有这份耐心你永远等不到那1%的灵光一现。2.3 细细还是细—— 魔鬼藏在细节里这是我最想强调的一点也是区分“小白”和“入门者”的核心。挖洞不是走马观花地点击页面而是像侦探一样审视每一个细节。举个例子一个普通的修改密码功能新手可能测一下旧密码是否正确就结束了。但细心的测试者会问请求包修改密码的HTTP请求是POST /api/user/changePassword吗参数名是old_pwd和new_pwd吗有没有可能存在uid或username参数如果存在修改它会发生什么越权测试响应包服务器返回的JSON里除了{“code”: 200}有没有携带额外的用户信息比如email,phone信息泄露流程修改密码是否需要邮箱或短信验证码验证码是6位数字吗有没有次数限制如果我快速请求100次验证码系统会宕机吗逻辑漏洞/DoS旁路忘记密码功能的重置链接其token参数是随机的吗长度和熵值足够吗能否被爆破安全设计缺陷这种“细”体现在方方面面URL中的一个特殊字符#,?,、Cookie里一个看似无意义的字段、JavaScript文件里一段被注释掉的调试代码、网页源码里一个隐藏的输入框。养成对每一个数据包、每一行代码、每一个交互步骤都“多看一眼多想一步”的习惯是你产出漏洞的最核心能力。2.4 法律与道德红线绝对不可逾越的边界这是生死线必须刻在脑子里。SRC挖洞是在授权范围内的测试授权范围就是厂商公布的“漏洞收录范围”。绝对不要进行未授权的测试尤其是对明确排除在外的系统如合作伙伴系统、非旗下域名、办公内网。绝对不要在验证漏洞时进行超出证明危害必要范围的操作。例如发现一个SQL注入点证明可以执行select version()或select user()即可严禁去drop table或dump整个数据库。发现一个任意文件上传上传一个无害的phpinfo()或test.txt证明可执行或可访问即可严禁上传webshell并连接。你的所有操作都应在法律和道德框架内以帮助修复为目的。一旦越界不仅奖金全无还可能面临法律风险彻底断送你的安全生涯。3. 实战前的“兵器谱”与“地图”工具与信息搜集体系化工欲善其事必先利其器。但比工具更重要的是知道在什么阶段用什么工具以及如何解读工具输出的信息。下面我构建的这套流程是我经过无数次实战验证后的高效组合拳。3.1 目标选择与情报搜集从“盲人摸象”到“全景透视”不要一上来就扎进某个具体的URL里狂点。高明的猎人先观察猎场。我们的目标是快速绘制出目标企业的“数字资产地图”。第一步明确目标范围打开目标的SRC平台如阿里云应急响应中心、腾讯安全应急响应中心等仔细阅读《漏洞收录范围》。重点关注主域名如*.taobao.com,*.tencent.com。子域名/关联域名哪些在范围内哪些明确排除如*.alipay.com可能独立运营不在*.alibaba.com的范围内。排除项通常包括合作伙伴站点、非旗下品牌、内部办公系统OA、邮箱、已下线业务等。这部分绝对不能碰。第二步资产发现与测绘使用网络空间测绘引擎这是将目标从“一个名字”扩展为“成千上万个具体攻击面”的关键。以FOFA为例其语法强大且直观。基础搜索domaintaobao.com。这会列出所有关联taobao.com的资产。精细化搜索找后台管理系统domaintaobao.com title管理 || titleadmin || title登录。找可能包含敏感信息的文档系统domaintaobao.com bodyoffice body预览。找使用了特定框架或中间件的资产已知漏洞domaintaobao.com servernginx status_code200。找带有参数的可疑URL便于测试注入domaintaobao.com body?id。导出与整理将搜索结果通常是IP、端口、协议、标题、Banner信息导出为CSV或TXT文件。用Excel或脚本进行初步筛选剔除明显无关的资产如图片服务器、CDN节点。我的心得不要只用一个测绘平台。FOFA、鹰图、Shodan、Quake的数据库各有侧重。用FOFA搜主域名用鹰图搜关联企业用Shodan搜特定端口服务交叉使用能获得最全面的资产视图。我会专门建一个Excel表格表头包括资产URL、IP、端口、服务/框架、标题、备注如“疑似后台”、“有登录框”方便后续分优先级测试。第三步企业信息与域名信息辅助这部分信息主要用于后续编写漏洞报告让报告更专业。爱企查/天眼查查询目标公司的全称、统一社会信用代码、注册地址。在报告“公司信息”一栏填写这些显得你非常专业。站长工具/爱站网查询目标域名的备案号、备案主体、以及网站权重。权重高的网站漏洞的评级和奖励通常也更高。这帮你决定测试的优先级——优先搞权重高的主站和核心业务子域。第四步子域名爆破与枚举主动发现测绘引擎可能无法发现所有子域特别是新上线的或未公开的。我们需要主动出击。工具subfinder,amass,ksubdomain。这些工具会基于字典尝试拼接常见子域前缀如dev,test,api,mobile与主域名。命令示例subfinder -d taobao.com -silent -o subdomains.txt。整合将爆破得到的子域名与测绘引擎发现的资产去重合并得到最终的目标资产列表。至此你手里应该有一份详尽的、分类清晰的资产清单。这张“地图”就是你后续所有行动的基石。3.2 核心工具链配置你的“瑞士军刀”工具不在多在于精和顺手。下面是我日常高频使用的工具组合覆盖了从侦察到漏洞利用的全流程。侦察与信息搜集OneForAll子域名收集的集大成者。它聚合了数十种数据源证书透明日志、DNS数据集、搜索引擎等效果远超单一工具。配置好API密钥如SecurityTrails, VirusTotal后它能给你带来惊喜。httpx快速探测存活和获取Web资产标题、状态码、指纹。用法cat domains.txt | httpx -title -status-code -tech-detect -o alive_urls.txt。它能快速从几万个域名中筛选出存活的、有内容的Web服务。nuclei漏洞扫描的“神器”。不同于传统的被动扫描器Nuclei基于YAML模板社区活跃POC更新极快。特别适合快速检测已知的框架漏洞、组件漏洞和简单的配置错误。我的工作流里总会用Nuclei对存活资产做第一轮快速筛查。代理与抓包Burp Suite Professional无可争议的王者。社区版功能受限专业版是生产力工具。它的Repeater、Intruder、Scanner模块是手工测试的核心。必须熟练掌握。配置技巧安装Burp Suite CA Certificate到系统或浏览器受信任的根证书颁发机构解决HTTPS抓包问题。配置好Project options-Connections-Upstream Proxy Servers以便在需要代理访问时也能正常抓包。漏洞利用与辅助SQLMapSQL注入自动化检测和利用工具。虽然名声在外但切忌无脑扫。我的用法是在Burp里发现一个可能有注入的点如id1右键发送到SQLMap的--proxy进行针对性检测。命令行如sqlmap -u “http://target.com/page?id1” --proxyhttp://127.0.0.1:8080 --batch --risk3 --level3。Xray一款优秀的被动式漏洞扫描器。配置为Burp的上游代理你浏览网站的所有流量都会经过Xray进行实时漏洞检测特别适合在手工测试时作为“第二双眼睛”发现你可能会忽略的盲点。浏览器插件Wappalyzer快速识别网站使用的技术栈前端框架、服务器、数据库等。EditThisCookie方便地查看和编辑Cookie用于测试会话管理问题。Hack-Tools集合了常用Payload、编码解码、哈希计算的小工具包非常便捷。自制脚本与字典Python Requests库这是你最重要的“自定义工具”。用于自动化重复性工作比如批量测试ID递增的越权、批量尝试默认口令、处理复杂的业务逻辑链如注册-登录-领券-下单。当现有工具不满足你的特定测试场景时自己写脚本是唯一出路。高质量的字典爆破目录、子域名、用户名、密码都离不开字典。推荐fuzzDicts、SecLists项目。但更重要的是根据目标业务特点自制字典。例如测试一个电商网站你的用户名字典就应该包含admin,test,service,kefu以及可能的产品名、活动名。4. 核心漏洞挖掘实战流程从“地图”到“宝藏”有了资产地图和工具我们开始真正的“挖掘”工作。我将以一个虚拟的“E-Mall”电商平台为例模拟一个完整的深度测试流程。4.1 第一阶段浅层扫描与快速筛查目标快速过滤掉明显“硬”或“无价值”的资产找到有潜力的测试入口。存活与指纹识别使用httpx对资产清单进行快速扫描筛选出状态码为200、301、302、403403有时也有戏的URL。同时识别Web服务器Nginx/Apache、开发语言PHP/Java、前端框架等。Nuclei模板扫描使用Nuclei的exposures、misconfiguration、default-logins等分类模板进行快速扫描。这一步可能会直接发现一些低危漏洞如暴露的.git目录、调试页面、默认口令等。虽然奖励不高但能让你快速建立信心并熟悉目标环境。目录/文件爆破对重点目标如主站、管理后台登录页使用dirsearch或ffuf进行目录爆破。寻找像/admin/,/backup/,/upload/,/api/v1/这样的敏感路径。实操记录在对mall.e-mall.com进行Nuclei扫描时发现/phpinfo.php可访问判定为信息泄露低危。同时目录爆破发现/admin/login.php存在但返回403。这是一个潜在入口记入待深度测试列表。4.2 第二阶段深度手工测试与业务逻辑剖析这是产出中高危漏洞的核心阶段。我们选择一个有潜力的目标比如用户中心user.e-mall.com。步骤一全面遍历与功能理解手工注册一个测试账号登录。不放过用户中心的每一个功能链接个人资料编辑、头像上传、地址管理、订单列表、优惠券、积分、修改密码、绑定手机/邮箱、注销账号等。用Burp Suite开启代理记录下每一个点击产生的HTTP请求和响应。重点不是找漏洞而是理解“这个功能是干什么的”、“它的正常数据流是怎样的”。步骤二请求与响应深度分析以“修改收货地址”功能为例捕获请求在地址列表点击编辑某个地址假设地址ID101Burp捕获到请求POST /api/address/update HTTP/1.1 Host: user.e-mall.com Cookie: sessionabc123... Content-Type: application/json {address_id: 101, consignee: 张三, phone: 13800138000, detail: 北京市...}参数分析address_id: 看起来是后端用来定位要修改哪条地址的标识。关键思考这个address_id我能否修改成别人的地址ID如果能我是否就能修改别人的收货地址水平越权consignee,phone,detail: 用户可控的输入点。这里是否有XSSphone参数是否做了严格的格式校验能否输入非数字字符越权测试我注册两个账号A和B。用A账号登录添加一个地址假设其address_id为101。用B账号登录也添加一个地址其address_id为102。在B账号的会话中我尝试发送一个修改请求但把address_id改成101。预期正常结果服务器应返回错误如{code: 403, msg: 无权操作}。漏洞情况如果服务器返回成功并且A账号的地址真的被修改了那么一个水平越权漏洞就诞生了。这是SRC中非常常见且中高奖励的漏洞类型。IDOR不安全的直接对象引用测试除了修改查看功能也可能存在IDOR。例如查看订单详情的APIGET /api/order/detail?order_id1001。尝试将order_id修改为1000、1002等看是否能查看到其他用户的订单信息。步骤三流程漏洞挖掘以“忘记密码”功能为例逻辑漏洞往往隐藏在业务流程的衔接处。正常流程输入手机号 - 获取短信验证码 - 输入验证码 - 重置密码。异常流程测试验证码爆破验证码是否为4-6位纯数字是否有尝试次数限制如果没有是否可以编写脚本暴力枚举(工具Burp Intrudor)验证码回显请求获取验证码的响应包中是否直接包含了验证码(信息泄露)验证码未绑定用户用A手机号获取验证码但在重置密码步骤将手机号参数改为B手机号验证码仍用A收到的看是否能重置B的密码。(逻辑缺陷)验证码有效期过长获取验证码后过1小时、2小时再尝试是否还能使用(安全设计缺陷)步骤四输入点与常见Web漏洞测试对所有用户输入的地方保持警惕搜索框、留言板XSS测试。输入看是否弹窗。进阶测试存储型XSS和DOM型XSS。URL参数、POST参数SQL注入测试。除了用工具手工测试也很重要尝试输入id1、id1 and 11、id1 and 12观察页面回显差异。文件上传点尝试上传各种后缀的文件.php, .jsp, .asp, .html配合内容类型Content-Type欺骗、文件名双写test.pHp、路径穿越../../../test.php等方式尝试绕过黑名单检测。4.3 第三阶段漏洞验证与报告编写发现异常行为不等于确认漏洞。你需要严谨地验证其危害。验证越权不仅要证明能“改”还要证明能“影响”。例如越权修改地址要证明修改后对方账号下的收货地址确实变成了你设置的内容可以通过让朋友账号登录查看或如果系统有订单功能看新订单是否会发往恶意地址。验证信息泄露证明泄露的信息是敏感的、未脱敏的。例如泄露手机号要证明是完整的11位号码而不是138****8000。编写高质量报告报告是你与厂商沟通的唯一桥梁决定了漏洞的评级和你的奖金。标题清晰明了。如“【E-Mall】用户地址管理功能存在水平越权漏洞可任意修改他人收货地址”。漏洞等级参考该SRC平台的标准自评高危/中危/低危。漏洞类型越权访问、SQL注入、XSS等。涉及URL完整的漏洞触发地址。漏洞描述用简洁的语言说明漏洞是什么。重现步骤这是核心必须分步骤、可复现。像写教程一样步骤1注册账号A添加地址记录地址ID。步骤2注册账号B。步骤3用B账号的Cookie构造如下请求包附上完整的Burp请求原始数据。步骤4发送请求观察响应附上响应包截图。步骤5登录账号A验证地址已被修改附截图。漏洞证明截图、视频。截图要包含浏览器URL栏、请求/响应关键信息。视频用ScreenToGif等工具录制清晰展示操作过程。修复建议体现你的专业性。例如“建议在服务端对address_id进行权限校验确保当前登录用户只能操作属于他自己的地址ID”。其他信息你的测试账号、测试时间等。一份逻辑清晰、证据确凿、重现步骤详细的报告能极大加快审核速度并给审核人员留下好印象。5. 从入门到精进可持续的学习路线与资源技术迭代飞快固步自封只会被淘汰。下面是我总结的一条循序渐进的学习路线。第一阶段筑基1-2个月网络基础必须精通HTTP/HTTPS协议。理解请求方法、状态码、Header、Cookie/Session机制、同源策略。推荐《图解HTTP》。Web前端基础了解HTML、CSS、JavaScript的基本语法特别是JS如何操作DOM、发起Ajax请求。这有助于理解XSS和CSRF。后端基础了解一种服务器端语言如PHP、Python、Java的基本逻辑知道什么是GET/POST参数数据和数据库如何交互。这有助于理解SQL注入、文件包含等漏洞的成因。Linux与命令行熟练使用Linux基本命令cd, ls, grep, find, cat, vim等能在Linux环境下配置工具、查看日志。第二阶段入门2-3个月漏洞原理学习系统学习OWASP Top 10中的每一种漏洞。不仅仅是知道名字要理解其产生原理、利用方式、危害和修复方案。资源《Web安全攻防渗透测试实战指南》、PortSwigger的Web Security Academy免费且顶级。工具上手熟练使用Burp Suite社区版完成代理、抓包、重放、Intruder爆破等基本操作。靶场实战在虚拟环境中练习。DVWA、bWAPP、WebGoat是绝佳的新手村。不要用自动化工具扫一定要手工一步步理解漏洞。第三阶段实战与拓展持续进行SRC实战选择1-2个对新手友好的平台如漏洞盒子、补天的公益项目开始真实挑战。从信息泄露、低危XSS等简单漏洞开始建立信心。参与众测在合法合规的众测平台上参与项目接触更复杂的业务场景。代码审计学习简单的代码审计能看懂漏洞在代码层面的表现。从PHP开始因为其动态类型和弱类型特性导致的漏洞比较直观。内网知识入门当Web漏洞挖掘遇到瓶颈可以开始了解内网渗透的基本概念横向移动、权限维持等但这属于更进阶的内容。保持学习关注安全社区如先知、安全客、Seebug、优秀的安全博客跟进最新的漏洞和技术动态。这条路没有捷径它需要你投入大量的时间和热情。但每当你提交的漏洞被确认每当你的技能树又点亮一个新分支那种成就感是无与伦比的。挖洞不仅是获取奖励更是一场与自己较量的、充满智趣的冒险。希望这份指南能成为你冒险之旅的第一张可靠地图。记住细心和耐心是你最好的武器。
SRC漏洞挖掘实战指南：从零入门到高效挖洞的完整路径
发布时间：2026/7/5 9:42:46
1. 项目概述为什么SRC是新手安全从业者的“黄金矿场”凌晨三点我盯着屏幕上那个熟悉的“漏洞已确认奖励发放中”的状态更新泡面的热气在显示器前氤氲开。这不是电影情节而是我一个从机械专业半路出家的“野生”安全爱好者在某个大型互联网公司SRC平台提交的第一个越权漏洞通过后的真实场景。那笔四位数的奖金不仅付清了当月的房租更关键的是它像一剂强心针彻底打消了我“我到底行不行”的自我怀疑。从那时起我意识到SRC安全应急响应中心漏洞挖掘可能是当前环境下对技术新人最友好、反馈最直接、也最能建立正反馈循环的实战路径。很多人一听到“漏洞挖掘”、“黑客”就觉得高深莫测需要精通汇编、内核和复杂的逆向工程。但SRC挖洞尤其是针对Web和业务逻辑的漏洞挖掘其门槛远没有想象中那么高。它的核心魅力在于目标明确、规则清晰、反馈即时。你面对的是支付宝、微信、抖音、美团这些你每天都在用的真实业务漏洞评级和奖金标准白纸黑字写在平台上。你不需要去猜测一个模糊的“系统”哪里有毛病而是像玩一个解谜游戏规则和奖品都摆在那里关键在于你能否找到那条通关的路径。对于初学者而言这种“打怪升级”的体验感远比啃完一本厚厚的《渗透测试指南》却无处下手要来得实在。当然“友好”不等于“简单”。它要求你具备扎实的基础、敏锐的观察力和最重要的——耐心。这篇文章就是我结合自己从零开始踩过无数坑最终在多个主流SRC平台累计获得奖金超过六位数的经历为你梳理的一份全景式实战指南。我不会给你一堆空洞的理论而是带你走一遍完整的流程从心态建设、目标选择、信息搜集、漏洞挖掘、报告编写到工具链配置。我们的目标很明确让你避开我走过的弯路用最高效的方式挖到属于你的“第一桶金”。2. 心态与认知建设在开始技术之前先摆正你的“挖矿”姿势在打开任何扫描器之前我认为比技术更重要的是心态和认知。错误的心态会让你迅速受挫并放弃而正确的认知则是你持续前进的燃料。2.1 破除心理障碍你不是在“攻击”而是在“协作”很多新手最大的心理障碍是负罪感觉得自己在做一件“不好的事”。你必须彻底扭转这个观念。合法的SRC漏洞挖掘本质上是与企业的安全团队协作是一种“众包安全测试”。企业开放SRC就是公开邀请像你这样的安全研究员在既定规则内帮助它们发现自身安全团队可能遗漏的风险。你的每一次有效提交都是在帮助数亿用户的数据和资产变得更安全。这是一种双赢甚至是多赢企业、用户、你的良性生态。抱着“协作”和“建设性”的心态你的整个操作会更加规范、自信。2.2 接受“枯燥期”挖洞是99%的无效劳动1%的灵光一现我见过太多新手兴致勃勃地扫了几个小时没发现任何问题就断言“这个站没洞”、“SRC不好挖了”。这是最致命的误区。真实的漏洞挖掘其过程更像淘金。你需要用工具资产测绘圈定一片可能有金子的河床目标资产然后一铲子一铲子手工测试每个功能点地筛洗泥沙正常流量和无效数据。可能你筛了几天手里只有一堆普通的石头。但真正的老手知道金子就在下一铲子里。这个“枯燥期”是筛选从业者的天然门槛。我的经验是在锁定一个目标后至少投入8-12个小时进行深度的手工测试如果仍无收获再考虑切换目标。没有这份耐心你永远等不到那1%的灵光一现。2.3 细细还是细—— 魔鬼藏在细节里这是我最想强调的一点也是区分“小白”和“入门者”的核心。挖洞不是走马观花地点击页面而是像侦探一样审视每一个细节。举个例子一个普通的修改密码功能新手可能测一下旧密码是否正确就结束了。但细心的测试者会问请求包修改密码的HTTP请求是POST /api/user/changePassword吗参数名是old_pwd和new_pwd吗有没有可能存在uid或username参数如果存在修改它会发生什么越权测试响应包服务器返回的JSON里除了{“code”: 200}有没有携带额外的用户信息比如email,phone信息泄露流程修改密码是否需要邮箱或短信验证码验证码是6位数字吗有没有次数限制如果我快速请求100次验证码系统会宕机吗逻辑漏洞/DoS旁路忘记密码功能的重置链接其token参数是随机的吗长度和熵值足够吗能否被爆破安全设计缺陷这种“细”体现在方方面面URL中的一个特殊字符#,?,、Cookie里一个看似无意义的字段、JavaScript文件里一段被注释掉的调试代码、网页源码里一个隐藏的输入框。养成对每一个数据包、每一行代码、每一个交互步骤都“多看一眼多想一步”的习惯是你产出漏洞的最核心能力。2.4 法律与道德红线绝对不可逾越的边界这是生死线必须刻在脑子里。SRC挖洞是在授权范围内的测试授权范围就是厂商公布的“漏洞收录范围”。绝对不要进行未授权的测试尤其是对明确排除在外的系统如合作伙伴系统、非旗下域名、办公内网。绝对不要在验证漏洞时进行超出证明危害必要范围的操作。例如发现一个SQL注入点证明可以执行select version()或select user()即可严禁去drop table或dump整个数据库。发现一个任意文件上传上传一个无害的phpinfo()或test.txt证明可执行或可访问即可严禁上传webshell并连接。你的所有操作都应在法律和道德框架内以帮助修复为目的。一旦越界不仅奖金全无还可能面临法律风险彻底断送你的安全生涯。3. 实战前的“兵器谱”与“地图”工具与信息搜集体系化工欲善其事必先利其器。但比工具更重要的是知道在什么阶段用什么工具以及如何解读工具输出的信息。下面我构建的这套流程是我经过无数次实战验证后的高效组合拳。3.1 目标选择与情报搜集从“盲人摸象”到“全景透视”不要一上来就扎进某个具体的URL里狂点。高明的猎人先观察猎场。我们的目标是快速绘制出目标企业的“数字资产地图”。第一步明确目标范围打开目标的SRC平台如阿里云应急响应中心、腾讯安全应急响应中心等仔细阅读《漏洞收录范围》。重点关注主域名如*.taobao.com,*.tencent.com。子域名/关联域名哪些在范围内哪些明确排除如*.alipay.com可能独立运营不在*.alibaba.com的范围内。排除项通常包括合作伙伴站点、非旗下品牌、内部办公系统OA、邮箱、已下线业务等。这部分绝对不能碰。第二步资产发现与测绘使用网络空间测绘引擎这是将目标从“一个名字”扩展为“成千上万个具体攻击面”的关键。以FOFA为例其语法强大且直观。基础搜索domaintaobao.com。这会列出所有关联taobao.com的资产。精细化搜索找后台管理系统domaintaobao.com title管理 || titleadmin || title登录。找可能包含敏感信息的文档系统domaintaobao.com bodyoffice body预览。找使用了特定框架或中间件的资产已知漏洞domaintaobao.com servernginx status_code200。找带有参数的可疑URL便于测试注入domaintaobao.com body?id。导出与整理将搜索结果通常是IP、端口、协议、标题、Banner信息导出为CSV或TXT文件。用Excel或脚本进行初步筛选剔除明显无关的资产如图片服务器、CDN节点。我的心得不要只用一个测绘平台。FOFA、鹰图、Shodan、Quake的数据库各有侧重。用FOFA搜主域名用鹰图搜关联企业用Shodan搜特定端口服务交叉使用能获得最全面的资产视图。我会专门建一个Excel表格表头包括资产URL、IP、端口、服务/框架、标题、备注如“疑似后台”、“有登录框”方便后续分优先级测试。第三步企业信息与域名信息辅助这部分信息主要用于后续编写漏洞报告让报告更专业。爱企查/天眼查查询目标公司的全称、统一社会信用代码、注册地址。在报告“公司信息”一栏填写这些显得你非常专业。站长工具/爱站网查询目标域名的备案号、备案主体、以及网站权重。权重高的网站漏洞的评级和奖励通常也更高。这帮你决定测试的优先级——优先搞权重高的主站和核心业务子域。第四步子域名爆破与枚举主动发现测绘引擎可能无法发现所有子域特别是新上线的或未公开的。我们需要主动出击。工具subfinder,amass,ksubdomain。这些工具会基于字典尝试拼接常见子域前缀如dev,test,api,mobile与主域名。命令示例subfinder -d taobao.com -silent -o subdomains.txt。整合将爆破得到的子域名与测绘引擎发现的资产去重合并得到最终的目标资产列表。至此你手里应该有一份详尽的、分类清晰的资产清单。这张“地图”就是你后续所有行动的基石。3.2 核心工具链配置你的“瑞士军刀”工具不在多在于精和顺手。下面是我日常高频使用的工具组合覆盖了从侦察到漏洞利用的全流程。侦察与信息搜集OneForAll子域名收集的集大成者。它聚合了数十种数据源证书透明日志、DNS数据集、搜索引擎等效果远超单一工具。配置好API密钥如SecurityTrails, VirusTotal后它能给你带来惊喜。httpx快速探测存活和获取Web资产标题、状态码、指纹。用法cat domains.txt | httpx -title -status-code -tech-detect -o alive_urls.txt。它能快速从几万个域名中筛选出存活的、有内容的Web服务。nuclei漏洞扫描的“神器”。不同于传统的被动扫描器Nuclei基于YAML模板社区活跃POC更新极快。特别适合快速检测已知的框架漏洞、组件漏洞和简单的配置错误。我的工作流里总会用Nuclei对存活资产做第一轮快速筛查。代理与抓包Burp Suite Professional无可争议的王者。社区版功能受限专业版是生产力工具。它的Repeater、Intruder、Scanner模块是手工测试的核心。必须熟练掌握。配置技巧安装Burp Suite CA Certificate到系统或浏览器受信任的根证书颁发机构解决HTTPS抓包问题。配置好Project options-Connections-Upstream Proxy Servers以便在需要代理访问时也能正常抓包。漏洞利用与辅助SQLMapSQL注入自动化检测和利用工具。虽然名声在外但切忌无脑扫。我的用法是在Burp里发现一个可能有注入的点如id1右键发送到SQLMap的--proxy进行针对性检测。命令行如sqlmap -u “http://target.com/page?id1” --proxyhttp://127.0.0.1:8080 --batch --risk3 --level3。Xray一款优秀的被动式漏洞扫描器。配置为Burp的上游代理你浏览网站的所有流量都会经过Xray进行实时漏洞检测特别适合在手工测试时作为“第二双眼睛”发现你可能会忽略的盲点。浏览器插件Wappalyzer快速识别网站使用的技术栈前端框架、服务器、数据库等。EditThisCookie方便地查看和编辑Cookie用于测试会话管理问题。Hack-Tools集合了常用Payload、编码解码、哈希计算的小工具包非常便捷。自制脚本与字典Python Requests库这是你最重要的“自定义工具”。用于自动化重复性工作比如批量测试ID递增的越权、批量尝试默认口令、处理复杂的业务逻辑链如注册-登录-领券-下单。当现有工具不满足你的特定测试场景时自己写脚本是唯一出路。高质量的字典爆破目录、子域名、用户名、密码都离不开字典。推荐fuzzDicts、SecLists项目。但更重要的是根据目标业务特点自制字典。例如测试一个电商网站你的用户名字典就应该包含admin,test,service,kefu以及可能的产品名、活动名。4. 核心漏洞挖掘实战流程从“地图”到“宝藏”有了资产地图和工具我们开始真正的“挖掘”工作。我将以一个虚拟的“E-Mall”电商平台为例模拟一个完整的深度测试流程。4.1 第一阶段浅层扫描与快速筛查目标快速过滤掉明显“硬”或“无价值”的资产找到有潜力的测试入口。存活与指纹识别使用httpx对资产清单进行快速扫描筛选出状态码为200、301、302、403403有时也有戏的URL。同时识别Web服务器Nginx/Apache、开发语言PHP/Java、前端框架等。Nuclei模板扫描使用Nuclei的exposures、misconfiguration、default-logins等分类模板进行快速扫描。这一步可能会直接发现一些低危漏洞如暴露的.git目录、调试页面、默认口令等。虽然奖励不高但能让你快速建立信心并熟悉目标环境。目录/文件爆破对重点目标如主站、管理后台登录页使用dirsearch或ffuf进行目录爆破。寻找像/admin/,/backup/,/upload/,/api/v1/这样的敏感路径。实操记录在对mall.e-mall.com进行Nuclei扫描时发现/phpinfo.php可访问判定为信息泄露低危。同时目录爆破发现/admin/login.php存在但返回403。这是一个潜在入口记入待深度测试列表。4.2 第二阶段深度手工测试与业务逻辑剖析这是产出中高危漏洞的核心阶段。我们选择一个有潜力的目标比如用户中心user.e-mall.com。步骤一全面遍历与功能理解手工注册一个测试账号登录。不放过用户中心的每一个功能链接个人资料编辑、头像上传、地址管理、订单列表、优惠券、积分、修改密码、绑定手机/邮箱、注销账号等。用Burp Suite开启代理记录下每一个点击产生的HTTP请求和响应。重点不是找漏洞而是理解“这个功能是干什么的”、“它的正常数据流是怎样的”。步骤二请求与响应深度分析以“修改收货地址”功能为例捕获请求在地址列表点击编辑某个地址假设地址ID101Burp捕获到请求POST /api/address/update HTTP/1.1 Host: user.e-mall.com Cookie: sessionabc123... Content-Type: application/json {address_id: 101, consignee: 张三, phone: 13800138000, detail: 北京市...}参数分析address_id: 看起来是后端用来定位要修改哪条地址的标识。关键思考这个address_id我能否修改成别人的地址ID如果能我是否就能修改别人的收货地址水平越权consignee,phone,detail: 用户可控的输入点。这里是否有XSSphone参数是否做了严格的格式校验能否输入非数字字符越权测试我注册两个账号A和B。用A账号登录添加一个地址假设其address_id为101。用B账号登录也添加一个地址其address_id为102。在B账号的会话中我尝试发送一个修改请求但把address_id改成101。预期正常结果服务器应返回错误如{code: 403, msg: 无权操作}。漏洞情况如果服务器返回成功并且A账号的地址真的被修改了那么一个水平越权漏洞就诞生了。这是SRC中非常常见且中高奖励的漏洞类型。IDOR不安全的直接对象引用测试除了修改查看功能也可能存在IDOR。例如查看订单详情的APIGET /api/order/detail?order_id1001。尝试将order_id修改为1000、1002等看是否能查看到其他用户的订单信息。步骤三流程漏洞挖掘以“忘记密码”功能为例逻辑漏洞往往隐藏在业务流程的衔接处。正常流程输入手机号 - 获取短信验证码 - 输入验证码 - 重置密码。异常流程测试验证码爆破验证码是否为4-6位纯数字是否有尝试次数限制如果没有是否可以编写脚本暴力枚举(工具Burp Intrudor)验证码回显请求获取验证码的响应包中是否直接包含了验证码(信息泄露)验证码未绑定用户用A手机号获取验证码但在重置密码步骤将手机号参数改为B手机号验证码仍用A收到的看是否能重置B的密码。(逻辑缺陷)验证码有效期过长获取验证码后过1小时、2小时再尝试是否还能使用(安全设计缺陷)步骤四输入点与常见Web漏洞测试对所有用户输入的地方保持警惕搜索框、留言板XSS测试。输入看是否弹窗。进阶测试存储型XSS和DOM型XSS。URL参数、POST参数SQL注入测试。除了用工具手工测试也很重要尝试输入id1、id1 and 11、id1 and 12观察页面回显差异。文件上传点尝试上传各种后缀的文件.php, .jsp, .asp, .html配合内容类型Content-Type欺骗、文件名双写test.pHp、路径穿越../../../test.php等方式尝试绕过黑名单检测。4.3 第三阶段漏洞验证与报告编写发现异常行为不等于确认漏洞。你需要严谨地验证其危害。验证越权不仅要证明能“改”还要证明能“影响”。例如越权修改地址要证明修改后对方账号下的收货地址确实变成了你设置的内容可以通过让朋友账号登录查看或如果系统有订单功能看新订单是否会发往恶意地址。验证信息泄露证明泄露的信息是敏感的、未脱敏的。例如泄露手机号要证明是完整的11位号码而不是138****8000。编写高质量报告报告是你与厂商沟通的唯一桥梁决定了漏洞的评级和你的奖金。标题清晰明了。如“【E-Mall】用户地址管理功能存在水平越权漏洞可任意修改他人收货地址”。漏洞等级参考该SRC平台的标准自评高危/中危/低危。漏洞类型越权访问、SQL注入、XSS等。涉及URL完整的漏洞触发地址。漏洞描述用简洁的语言说明漏洞是什么。重现步骤这是核心必须分步骤、可复现。像写教程一样步骤1注册账号A添加地址记录地址ID。步骤2注册账号B。步骤3用B账号的Cookie构造如下请求包附上完整的Burp请求原始数据。步骤4发送请求观察响应附上响应包截图。步骤5登录账号A验证地址已被修改附截图。漏洞证明截图、视频。截图要包含浏览器URL栏、请求/响应关键信息。视频用ScreenToGif等工具录制清晰展示操作过程。修复建议体现你的专业性。例如“建议在服务端对address_id进行权限校验确保当前登录用户只能操作属于他自己的地址ID”。其他信息你的测试账号、测试时间等。一份逻辑清晰、证据确凿、重现步骤详细的报告能极大加快审核速度并给审核人员留下好印象。5. 从入门到精进可持续的学习路线与资源技术迭代飞快固步自封只会被淘汰。下面是我总结的一条循序渐进的学习路线。第一阶段筑基1-2个月网络基础必须精通HTTP/HTTPS协议。理解请求方法、状态码、Header、Cookie/Session机制、同源策略。推荐《图解HTTP》。Web前端基础了解HTML、CSS、JavaScript的基本语法特别是JS如何操作DOM、发起Ajax请求。这有助于理解XSS和CSRF。后端基础了解一种服务器端语言如PHP、Python、Java的基本逻辑知道什么是GET/POST参数数据和数据库如何交互。这有助于理解SQL注入、文件包含等漏洞的成因。Linux与命令行熟练使用Linux基本命令cd, ls, grep, find, cat, vim等能在Linux环境下配置工具、查看日志。第二阶段入门2-3个月漏洞原理学习系统学习OWASP Top 10中的每一种漏洞。不仅仅是知道名字要理解其产生原理、利用方式、危害和修复方案。资源《Web安全攻防渗透测试实战指南》、PortSwigger的Web Security Academy免费且顶级。工具上手熟练使用Burp Suite社区版完成代理、抓包、重放、Intruder爆破等基本操作。靶场实战在虚拟环境中练习。DVWA、bWAPP、WebGoat是绝佳的新手村。不要用自动化工具扫一定要手工一步步理解漏洞。第三阶段实战与拓展持续进行SRC实战选择1-2个对新手友好的平台如漏洞盒子、补天的公益项目开始真实挑战。从信息泄露、低危XSS等简单漏洞开始建立信心。参与众测在合法合规的众测平台上参与项目接触更复杂的业务场景。代码审计学习简单的代码审计能看懂漏洞在代码层面的表现。从PHP开始因为其动态类型和弱类型特性导致的漏洞比较直观。内网知识入门当Web漏洞挖掘遇到瓶颈可以开始了解内网渗透的基本概念横向移动、权限维持等但这属于更进阶的内容。保持学习关注安全社区如先知、安全客、Seebug、优秀的安全博客跟进最新的漏洞和技术动态。这条路没有捷径它需要你投入大量的时间和热情。但每当你提交的漏洞被确认每当你的技能树又点亮一个新分支那种成就感是无与伦比的。挖洞不仅是获取奖励更是一场与自己较量的、充满智趣的冒险。希望这份指南能成为你冒险之旅的第一张可靠地图。记住细心和耐心是你最好的武器。
