1. 項(xiàng)目概述SRC挖洞一個(gè)可以“變現(xiàn)”的安全技能如果你對(duì)網(wǎng)絡(luò)安全感興趣或者想找一份能帶來實(shí)際收益的副業(yè)那么SRCSecurity Response Center安全應(yīng)急響應(yīng)中心挖洞絕對(duì)是一個(gè)值得投入的方向。這聽起來可能有點(diǎn)神秘但說白了就是利用你的技術(shù)知識(shí)在各大互聯(lián)網(wǎng)公司設(shè)立的官方漏洞收集平臺(tái)上合法地尋找并提交它們產(chǎn)品中的安全漏洞。一旦漏洞被確認(rèn)你不僅能獲得一筆可觀的賞金名字還可能登上平臺(tái)的“白帽子”榜單這對(duì)于個(gè)人技術(shù)成長和職業(yè)履歷都是極佳的背書。我剛開始接觸時(shí)也覺得門檻很高但實(shí)際走下來發(fā)現(xiàn)這是一條有清晰路徑可循的路。這篇內(nèi)容我就把自己從零開始到成功提交第一個(gè)有效漏洞、拿到第一筆賞金的全過程以及其中踩過的坑和總結(jié)的經(jīng)驗(yàn)毫無保留地分享給你。無論你是安全專業(yè)的學(xué)生還是對(duì)網(wǎng)絡(luò)安全充滿好奇的開發(fā)者甚至是完全零基礎(chǔ)的小白只要你有耐心和學(xué)習(xí)的熱情都能通過這篇指南邁出SRC挖洞的第一步。2. 核心思路與前期準(zhǔn)備別急著動(dòng)手先想清楚很多人一聽到“挖漏洞”第一反應(yīng)就是打開掃描器一頓狂掃或者直接去網(wǎng)上找“漏洞利用代碼”碰運(yùn)氣。這是最典型的誤區(qū)也是新手最容易“顆粒無收”的原因。SRC挖洞尤其是想穩(wěn)定拿到賞金本質(zhì)上是一場(chǎng)信息差和技術(shù)理解的較量。你的對(duì)手不是系統(tǒng)而是其他同樣在尋找漏洞的研究者。因此前期的策略規(guī)劃比技術(shù)本身更重要。2.1 目標(biāo)選擇如何找到你的“新手村”面對(duì)幾十上百個(gè)SRC平臺(tái)新手最容易犯的錯(cuò)就是盲目選擇大型、熱門的平臺(tái)比如那些頭部互聯(lián)網(wǎng)巨頭的SRC。這些平臺(tái)雖然獎(jiǎng)金豐厚但競(jìng)爭(zhēng)也異常激烈漏洞被報(bào)告得差不多了剩下的都是“硬骨頭”對(duì)技術(shù)要求極高。我的建議是將目標(biāo)鎖定在“垂直領(lǐng)域”和“新興業(yè)務(wù)”的SRC上。垂直領(lǐng)域SRC例如教育SRC.edu.cn域名相關(guān)、金融科技SRC、汽車SRC、IoT設(shè)備SRC等。這些領(lǐng)域的業(yè)務(wù)邏輯相對(duì)獨(dú)特通用的掃描器往往覆蓋不全存在更多“盲區(qū)”。比如教育SRC中在線考試系統(tǒng)、論文查重、校園一卡通等業(yè)務(wù)就可能存在邏輯漏洞。新興業(yè)務(wù)SRC關(guān)注那些剛剛推出新功能、新應(yīng)用或新子域名的公司。新代碼上線初期往往是安全測(cè)試的“黃金窗口期”開發(fā)人員可能還沒來得及進(jìn)行全面的安全審計(jì)。技巧你可以訂閱一些SRC平臺(tái)的公告或關(guān)注其社交媒體看看他們最近在推廣什么新活動(dòng)、新業(yè)務(wù)線或者哪些業(yè)務(wù)板塊剛剛完成了重大更新。2.2 信息收集你的“作戰(zhàn)地圖”質(zhì)量決定成敗確定了目標(biāo)SRC后千萬不要直接對(duì)主域名進(jìn)行測(cè)試。第一步也是最重要的一步是進(jìn)行細(xì)致入微的信息收集。這就像打仗前偵察地形地圖越詳細(xì)勝算越大。子域名枚舉使用工具如subfinder,amass,OneForAll等盡可能多地收集目標(biāo)的所有子域名。一個(gè)不起眼的dev.example.com或test-api.example.com往往比www.example.com更容易存在安全問題。端口與服務(wù)探測(cè)對(duì)發(fā)現(xiàn)的子域名和IP進(jìn)行端口掃描nmap,masscan識(shí)別上面運(yùn)行的服務(wù)Web服務(wù)器、數(shù)據(jù)庫、緩存服務(wù)、API接口等。一個(gè)開放的6379端口Redis或9200端口Elasticsearch可能就是突破口。目錄與文件發(fā)現(xiàn)使用dirsearch,gobuster,ffuf等工具進(jìn)行目錄爆破尋找后臺(tái)登錄入口、配置文件如.git,.env,phpinfo.php、備份文件等。技術(shù)棧指紋識(shí)別識(shí)別網(wǎng)站使用的技術(shù)如前端框架React, Vue、后端語言PHP, Java, Python、中間件Nginx, Apache, Tomcat、數(shù)據(jù)庫MySQL, PostgreSQL以及具體的版本號(hào)。知道版本號(hào)后可以去搜索該版本是否存在公開的已知漏洞CVE。JS文件分析現(xiàn)代Web應(yīng)用大量邏輯藏在JavaScript文件中。使用像LinkFinder這樣的工具從JS文件中提取隱藏的API端點(diǎn)、接口路徑、甚至是硬編碼的密鑰、令牌。這是發(fā)現(xiàn)“影子API”的寶藏之地。資產(chǎn)關(guān)聯(lián)與歸屬確認(rèn)使用whois查詢、SSL證書透明度日志Censys, Crtsh等發(fā)現(xiàn)與目標(biāo)公司相關(guān)的其他域名或IP資產(chǎn)這些可能屬于同一個(gè)安全測(cè)試范圍。注意信息收集一定要在目標(biāo)SRC公開的測(cè)試范圍內(nèi)進(jìn)行。通常SRC會(huì)有明確的“測(cè)試范圍”Scope聲明只允許測(cè)試列出的域名和業(yè)務(wù)。測(cè)試范圍外的資產(chǎn)屬于違規(guī)測(cè)試可能導(dǎo)致賬號(hào)被封禁甚至法律風(fēng)險(xiǎn)。務(wù)必仔細(xì)閱讀每一家SRC的規(guī)則。2.3 工具與環(huán)境搭建工欲善其事必先利其器你不需要成為所有工具的大師但需要一套順手的基礎(chǔ)裝備。以下是我推薦的新手必備工具棧大部分是開源或免費(fèi)的。操作系統(tǒng)推薦使用Kali Linux或Parrot OS。它們是專為安全測(cè)試設(shè)計(jì)的發(fā)行版預(yù)裝了海量工具。你也可以在虛擬機(jī)或Windows的WSL2中安裝。代理工具Burp Suite Community Edition社區(qū)版是核心中的核心。它攔截、查看和修改瀏覽器與服務(wù)器之間的所有HTTP/HTTPS流量是你分析請(qǐng)求、測(cè)試漏洞的“手術(shù)刀”。學(xué)會(huì)使用它的Proxy、Repeater、Intruder、Scanner模塊是基礎(chǔ)。瀏覽器與插件瀏覽器Chrome 或 Firefox。插件FoxyProxy方便切換代理、Wappalyzer技術(shù)棧識(shí)別、Hack-Tools、EditThisCookieCookie編輯。綜合掃描器謹(jǐn)慎使用像AWVS、Nessus這樣的商業(yè)掃描器功能強(qiáng)大但不推薦新手依賴。一方面它們?cè)胍舸笕菀妆籛AF攔截另一方面它們找到的往往是中低危的通用漏洞如信息泄露、舊的CMS漏洞很難在SRC獲得高額賞金。你應(yīng)該把掃描器當(dāng)作輔助信息收集和初步篩選的工具而不是主力。自定義腳本與工具隨著經(jīng)驗(yàn)增長你會(huì)發(fā)現(xiàn)自己經(jīng)常需要重復(fù)某些操作比如批量測(cè)試某個(gè)參數(shù)。這時(shí)學(xué)習(xí)用Python配合requests庫寫一些簡(jiǎn)單的自動(dòng)化腳本效率會(huì)大大提升。3. 漏洞挖掘?qū)崙?zhàn)從低垂的果實(shí)到邏輯的深水區(qū)有了清晰的目標(biāo)和充足的信息我們就可以開始實(shí)戰(zhàn)了。建議新手按照以下優(yōu)先級(jí)和路徑來嘗試先易后難建立信心。3.1 第一站信息泄露與配置錯(cuò)誤這類漏洞技術(shù)門檻最低但卻是SRC中非常常見且容易被忽略的入口。它們本身可能賞金不高但泄露的信息往往能為后續(xù)更深入的攻擊提供關(guān)鍵線索。敏感文件泄露手動(dòng)或通過目錄爆破工具尋找.git目錄、.DS_Store、phpinfo.php、WEB-INF/web.xml、備份文件.bak,.zip,.tar.gz、配置文件.env,config.php等。如果發(fā)現(xiàn).git目錄可訪問可以使用GitHacker這類工具嘗試還原整個(gè)源代碼這是“寶藏級(jí)”發(fā)現(xiàn)。錯(cuò)誤信息泄露故意觸發(fā)程序錯(cuò)誤如輸入超長字符串、非法參數(shù)觀察返回的錯(cuò)誤信息是否暴露了數(shù)據(jù)庫結(jié)構(gòu)、服務(wù)器路徑、SQL語句片段、API密鑰等。CORS配置錯(cuò)誤如果目標(biāo)API的Access-Control-Allow-Origin響應(yīng)頭被設(shè)置為*或包含了你可控的域名就可能存在CORS漏洞導(dǎo)致用戶數(shù)據(jù)被惡意網(wǎng)站竊取。測(cè)試方法是在Burp中修改Origin請(qǐng)求頭觀察響應(yīng)頭。源碼注釋泄露查看網(wǎng)頁源代碼開發(fā)者留下的注釋里有時(shí)會(huì)包含后臺(tái)地址、默認(rèn)密碼、接口說明等。云存儲(chǔ)桶配置錯(cuò)誤對(duì)于使用AWS S3、阿里云OSS、騰訊云COS等服務(wù)的應(yīng)用如果存儲(chǔ)桶權(quán)限配置為“公開可讀”可能導(dǎo)致大量用戶數(shù)據(jù)、源碼、日志泄露。工具如s3scanner,cloud_enum可以幫助發(fā)現(xiàn)這類問題。3.2 核心突破點(diǎn)業(yè)務(wù)邏輯漏洞這是SRC賞金的“富礦”也是最能體現(xiàn)研究者思維深度的地方。它不依賴特定的技術(shù)棧而是源于對(duì)業(yè)務(wù)流程理解的偏差。你需要像一個(gè)“惡意用戶”一樣去思考。越權(quán)漏洞水平越權(quán)在擁有A用戶權(quán)限的情況下能否操作B用戶的資源例如修改請(qǐng)求中的用戶ID參數(shù)訪問他人訂單、個(gè)人信息、聊天記錄等。垂直越權(quán)在擁有普通用戶權(quán)限的情況下能否執(zhí)行管理員功能例如普通用戶能否訪問后臺(tái)管理接口、能否調(diào)用需要特定權(quán)限的API。測(cè)試方法注冊(cè)兩個(gè)測(cè)試賬號(hào)A和B。用A賬號(hào)登錄進(jìn)行某項(xiàng)操作如查看訂單詳情用Burp抓包。然后在Burp Repeater中用B賬號(hào)的會(huì)話令牌Cookie/Token替換A的重放請(qǐng)求看是否能成功訪問A的數(shù)據(jù)或執(zhí)行操作。流程繞過漏洞支付漏洞修改支付金額為負(fù)數(shù)或極小數(shù)在支付成功回調(diào)時(shí)嘗試重復(fù)請(qǐng)求以重復(fù)充值跳過支付環(huán)節(jié)直接訪問“支付成功”后的頁面或接口。驗(yàn)證碼繞過驗(yàn)證碼是否在客戶端生成或校驗(yàn)是否可重復(fù)使用是否在第一次驗(yàn)證后后續(xù)請(qǐng)求就不再校驗(yàn)嘗試將驗(yàn)證碼參數(shù)置空、刪除或修改為固定值。步驟跳過多步驟業(yè)務(wù)流程如填寫信息-上傳資料-提交審核能否直接通過修改URL或參數(shù)跳到最后一步提交競(jìng)爭(zhēng)條件漏洞在并發(fā)場(chǎng)景下由于代碼邏輯處理不當(dāng)導(dǎo)致狀態(tài)異常。經(jīng)典案例是“抽獎(jiǎng)”或“搶購”同時(shí)發(fā)起多個(gè)請(qǐng)求可能繞過庫存檢查導(dǎo)致一人多次中獎(jiǎng)或超賣。測(cè)試工具使用Burp Suite的Turbo Intruder擴(kuò)展或者自己編寫Python多線程/異步腳本在極短時(shí)間內(nèi)向目標(biāo)接口發(fā)送大量相同或序列化的請(qǐng)求。3.3 技術(shù)型漏洞需要扎實(shí)的基礎(chǔ)知識(shí)當(dāng)信息泄露和邏輯漏洞的“低垂果實(shí)”被摘得差不多時(shí)你需要向更技術(shù)性的領(lǐng)域深入。這需要你系統(tǒng)學(xué)習(xí)一些基礎(chǔ)知識(shí)。SQL注入雖然老生常談但在參數(shù)過濾不嚴(yán)的查詢中依然存在。不要只依賴掃描器。手動(dòng)測(cè)試時(shí)關(guān)注所有用戶可控的輸入點(diǎn)GET/POST參數(shù)、Cookie、HTTP頭。使用、、\等字符嘗試觸發(fā)錯(cuò)誤再用AND 11、AND 12或SLEEP(5)等Payload判斷是否存在注入以及注入類型。工具sqlmap是神器但要學(xué)會(huì)它的高級(jí)參數(shù)如--level,--risk,--tamper繞過WAF。跨站腳本反射型XSS在SRC中價(jià)值通常不高但存儲(chǔ)型XSS和基于DOM的XSS仍值得關(guān)注。測(cè)試時(shí)不要只彈alert(1)要思考利用場(chǎng)景能否竊取Cookie能否模擬用戶操作如轉(zhuǎn)賬、發(fā)帖在富文本編輯器、文件上傳文件名、文件內(nèi)容、個(gè)人信息欄等處重點(diǎn)測(cè)試。SSRF當(dāng)應(yīng)用提供了從網(wǎng)絡(luò)獲取外部資源的功能時(shí)如圖片上傳URL、網(wǎng)頁抓取、PDF生成就可能存在SSRF。嘗試讓服務(wù)器訪問內(nèi)網(wǎng)服務(wù)http://127.0.0.1:8080或云元數(shù)據(jù)接口如AWS的http://169.254.169.254。文件上傳漏洞繞過前端和后端的文件類型檢查。嘗試修改文件擴(kuò)展名shell.jpg.php、文件內(nèi)容添加圖片頭GIF89a、Content-Type請(qǐng)求頭或者利用解析漏洞如IIS的shell.jpg;.php。4. 報(bào)告撰寫與提交臨門一腳決定成敗找到漏洞只是成功了一半一份清晰、專業(yè)、可復(fù)現(xiàn)的漏洞報(bào)告是你能拿到賞金的關(guān)鍵。糟糕的報(bào)告可能導(dǎo)致漏洞被降級(jí)、忽略甚至拒絕。4.1 報(bào)告的核心要素一份優(yōu)秀的SRC漏洞報(bào)告通常包含以下部分你可以把它當(dāng)作一個(gè)模板漏洞標(biāo)題簡(jiǎn)明扼要如“【目標(biāo)域名】某處水平越權(quán)漏洞可查看任意用戶訂單詳情”。漏洞等級(jí)根據(jù)SRC自身的定級(jí)標(biāo)準(zhǔn)初步評(píng)估為“高?！薄ⅰ爸形！被颉暗臀！?。如果不確定可先標(biāo)中危。漏洞類型如“業(yè)務(wù)邏輯漏洞-水平越權(quán)”。影響范圍明確指出受影響的URL、功能模塊或用戶群體。漏洞詳情這是報(bào)告的主體。步驟一以測(cè)試賬號(hào)A登錄進(jìn)入個(gè)人中心-訂單列表。步驟二點(diǎn)擊任意訂單查看詳情Burp抓包發(fā)現(xiàn)請(qǐng)求中包含參數(shù)order_id12345。步驟三將數(shù)據(jù)包中的Cookie替換為測(cè)試賬號(hào)B的Cookie或?qū)rder_id參數(shù)修改為屬于B用戶的訂單ID67890。步驟四重放請(qǐng)求服務(wù)器成功返回了訂單ID為67890的詳細(xì)信息本應(yīng)無權(quán)限訪問。關(guān)鍵證據(jù)必須提供截圖或視頻。截圖應(yīng)包含Burp的請(qǐng)求/響應(yīng)全貌、瀏覽器地址欄URL。視頻能更直觀地展示整個(gè)復(fù)現(xiàn)過程。請(qǐng)求與響應(yīng)數(shù)據(jù)粘貼關(guān)鍵的HTTP請(qǐng)求原始數(shù)據(jù)和服務(wù)器響應(yīng)數(shù)據(jù)可適當(dāng)脫敏敏感信息。漏洞修復(fù)建議給出建設(shè)性意見。例如“建議在服務(wù)器端對(duì)每一次數(shù)據(jù)訪問請(qǐng)求都進(jìn)行嚴(yán)格的會(huì)話用戶身份與目標(biāo)資源所屬權(quán)的校驗(yàn)?！睍r(shí)間線記錄你發(fā)現(xiàn)漏洞的時(shí)間。4.2 提交前后的注意事項(xiàng)遵守規(guī)則再次確認(rèn)你的測(cè)試行為在對(duì)方許可的范圍內(nèi)沒有進(jìn)行DDoS、暴力破解、掃描非授權(quán)資產(chǎn)、破壞數(shù)據(jù)等違規(guī)操作。一洞一報(bào)一個(gè)報(bào)告只提交一個(gè)漏洞。如果同一個(gè)功能點(diǎn)存在多個(gè)問題如同時(shí)存在越權(quán)和XSS可以放在一個(gè)報(bào)告里說明但需清晰分點(diǎn)。溝通技巧提交后耐心等待。如果審核人員對(duì)漏洞有疑問通常會(huì)通過平臺(tái)留言?；貜?fù)時(shí)要禮貌、清晰提供對(duì)方要求補(bǔ)充的信息。切忌催促或使用不禮貌的語言。避免重復(fù)報(bào)告提交前可以簡(jiǎn)單在互聯(lián)網(wǎng)上搜索一下目標(biāo)系統(tǒng)的公開漏洞信息但主要依賴SRC平臺(tái)自身的查重機(jī)制。5. 進(jìn)階之路與持續(xù)學(xué)習(xí)成功提交并收獲第一個(gè)漏洞后你才算真正入門。接下來要做的是構(gòu)建體系化的知識(shí)結(jié)構(gòu)和培養(yǎng)敏銳的“漏洞嗅覺”。5.1 構(gòu)建知識(shí)體系Web安全基礎(chǔ)必須系統(tǒng)學(xué)習(xí)OWASP Top 10理解每一種漏洞的原理、利用方式和防御手段。推薦閱讀《白帽子講Web安全》。網(wǎng)絡(luò)協(xié)議深入理解HTTP/HTTPS、TCP/IP、DNS等協(xié)議。Burp里看到的每一個(gè)字段都要明白其含義。編程語言至少精通一門腳本語言Python用于編寫自動(dòng)化測(cè)試工具。了解前端JavaScript、后端Java/PHP/Python/Go的基礎(chǔ)能幫助你更快地理解源碼和邏輯。操作系統(tǒng)與數(shù)據(jù)庫熟悉Linux常用命令和Windows基礎(chǔ)了解SQL語法。5.2 培養(yǎng)漏洞嗅覺代碼審計(jì)嘗試閱讀開源項(xiàng)目的代碼學(xué)習(xí)從源代碼層面發(fā)現(xiàn)安全問題。可以從一些有已知漏洞的靶場(chǎng)項(xiàng)目如DVWA, WebGoat源碼看起。案例復(fù)盤多看看各大SRC公開的漏洞報(bào)告如補(bǔ)天、漏洞盒子等平臺(tái)的公開案例、安全社區(qū)如先知、Seebug的技術(shù)文章。思考“如果是我我會(huì)怎么發(fā)現(xiàn)這個(gè)漏洞”參與眾測(cè)與靶場(chǎng)在授權(quán)的眾測(cè)項(xiàng)目中實(shí)戰(zhàn)是提升最快的方式。平時(shí)也可以在PentesterLab,HackTheBox,TryHackMe等在線靶場(chǎng)練習(xí)。關(guān)注動(dòng)態(tài)關(guān)注新的攻擊技術(shù)、新型漏洞如原型鏈污染、GraphQL注入、JWT安全等和新的工具。6. 常見問題與避坑指南這條路我走過下面這些坑希望你都能繞過去。問題1測(cè)試時(shí)賬號(hào)被封了怎么辦原因可能觸發(fā)了WAF或風(fēng)控策略的頻繁請(qǐng)求限制或者進(jìn)行了暴力破解等攻擊性測(cè)試。對(duì)策測(cè)試時(shí)控制請(qǐng)求頻率在Burp中設(shè)置限速Throttle。對(duì)于登錄、驗(yàn)證碼等接口避免高頻測(cè)試。準(zhǔn)備多個(gè)測(cè)試賬號(hào)。如果只是IP被封更換IP或使用代理即可如果是賬號(hào)被封且確認(rèn)測(cè)試行為合規(guī)可以嘗試聯(lián)系SRC客服說明情況。問題2漏洞被判定為“重復(fù)”、“已知”或“不予收錄”怎么辦原因別人比你早提交漏洞在內(nèi)部已知但未修復(fù)漏洞危害極低或不符合收錄標(biāo)準(zhǔn)如Self-XSS、無實(shí)際危害的CORS配置。對(duì)策心態(tài)放平這非常正常。將其視為一次學(xué)習(xí)機(jī)會(huì)去思考如何更快地發(fā)現(xiàn)漏洞或者尋找更隱蔽、危害更大的利用方式。專注于那些需要深度交互和邏輯推理的漏洞這類漏洞的重復(fù)率相對(duì)較低。問題3挖了很久一個(gè)漏洞都沒找到很沮喪。原因目標(biāo)太難、方法不對(duì)、或耐心不足。對(duì)策回歸基礎(chǔ)換一個(gè)更容易的目標(biāo)如新興SRC。從信息收集開始一步步來確保每一步都做到位。加入一些安全交流社群和同行討論思路有時(shí)別人的一句話就能點(diǎn)醒你。記住挖洞很大程度上是“運(yùn)氣經(jīng)驗(yàn)”的結(jié)合持續(xù)投入時(shí)間經(jīng)驗(yàn)增長了“運(yùn)氣”自然會(huì)來。問題4工具掃描出一堆“漏洞”提交后全是“誤報(bào)”。原因過度依賴自動(dòng)化工具沒有進(jìn)行人工驗(yàn)證。對(duì)策掃描器的結(jié)果永遠(yuǎn)是“線索”而不是“結(jié)論”。對(duì)每一個(gè)掃描器報(bào)出的點(diǎn)都必須手動(dòng)驗(yàn)證其真實(shí)性和可利用性。思考這個(gè)漏洞是否真的存在能否實(shí)際觸發(fā)能造成什么具體影響一個(gè)關(guān)鍵的實(shí)操心得養(yǎng)成“數(shù)據(jù)包管理”的好習(xí)慣。在Burp中為每一個(gè)目標(biāo)單獨(dú)建立一個(gè)Project使用Scope功能限定目標(biāo)范圍。對(duì)每一個(gè)測(cè)試的請(qǐng)求如果發(fā)現(xiàn)可疑點(diǎn)立即在Burp的Target - Site map中右鍵添加注釋Notes描述你的測(cè)試想法和結(jié)果。這樣一周后回頭看你的工作記錄依然清晰避免重復(fù)勞動(dòng)和思路中斷。這個(gè)習(xí)慣能極大提升你的測(cè)試效率和深度。