1. 项目概述为什么说SRC是网安新手的“黄金矿场”如果你刚接触网络安全对“挖洞”、“渗透测试”这些词感到既兴奋又迷茫那“SRC”这个词你一定不陌生。SRC全称Security Response Center也就是安全应急响应中心现在通常指各大互联网公司、平台设立的漏洞悬赏计划。简单说就是厂商公开邀请安全研究员白帽子来测试自家产品发现并提交漏洞然后根据漏洞的严重程度给予现金奖励或积分荣誉。这听起来像是一个双赢的游戏厂商用相对较低的成本提升了安全性而白帽子们则获得了真金白银的回报和宝贵的实战经验。但为什么我把它称为新手的“黄金矿场”原因有三。第一门槛相对友好。相比于接商业渗透测试项目需要复杂的资质和商务流程SRC通常只需要一个邮箱注册你就可以开始对目标进行授权测试法律风险几乎为零。第二目标明确且多样。从大型互联网公司的Web应用、移动App到智能硬件、IoT设备甚至新兴的区块链项目都有对应的SRC计划你可以根据自己的兴趣和技术栈选择方向。第三反馈即时成长路径清晰。提交漏洞后厂商的审核人员会给出评级和反馈这个过程本身就是极佳的学习机会。你能知道自己的思路哪里对、哪里错哪些漏洞在实战中更有价值。从几十块钱的低危漏洞到数万元的高危漏洞你的技术成长可以直接映射到收益上。所以这篇攻略的目的就是帮你把“挖SRC”这件事从“看别人赚钱”变成“自己也能上手操作”的系统工程。我会结合自己这些年踩过的坑和总结的经验从最基础的信息收集开始到漏洞挖掘的手法、报告编写的技巧再到如何选择平台和高效变现为你梳理出一条清晰的路径。无论你是计算机专业的学生还是刚转行安全的爱好者只要你有基本的网络和Web知识跟着这篇攻略的思路走你完全有可能在几个月内拿到自己的第一笔漏洞奖金。2. 核心思路与前期准备别急着点鼠标先想清楚这些事很多新手一上来就打开Burp Suite对着网站一顿乱扫结果往往是一无所获还可能会因为测试手法不当触发对方的防护机制。在开始真正的漏洞挖掘之前花时间做好规划和准备效率能提升十倍不止。2.1 心态建设与目标选择你不是黑客是安全研究员首先要摆正心态。我们是在授权范围内进行测试目的是帮助厂商发现问题而不是搞破坏。遵守SRC的规则通常称为“漏洞披露政策”或“测试范围”是底线。一旦越界比如进行DDoS攻击、利用漏洞窃取或破坏数据不仅奖金拿不到还可能面临法律风险。记住我们是“白帽子”。其次如何选择第一个目标我的建议是避开顶级大厂从中小型或垂直领域SRC入手。像腾讯、阿里、字节跳动这些巨头的SRC虽然奖金丰厚但同时也是顶尖白帽子的竞技场安全防护体系非常完善自动化扫描器24小时运行新手很难找到遗漏的漏洞。相反一些新兴的电商平台、工具类SaaS服务、垂直行业如在线教育、医疗的SRC关注度相对较低安全投入可能也不如大厂但业务逻辑复杂反而容易存在逻辑漏洞。你可以关注“漏洞盒子”、“补天”、“火线”、“OpenSec”等综合性漏洞平台它们汇集了众多厂商的SRC项目方便你浏览和选择。2.2 核心技能栈与工具准备你的“挖矿”工具箱工欲善其事必先利其器。下面这个表格梳理了SRC漏洞挖掘各个阶段最常用、最核心的工具你可以根据自己的情况搭建环境。阶段核心工具/技能作用与说明学习建议信息收集子域名枚举 (OneForAll, Subfinder)发现目标的所有入口点扩大攻击面。掌握至少一种工具的深度使用理解其原理。目录/文件扫描 (Dirsearch, ffuf)寻找隐藏的管理后台、备份文件、配置文件等。学会自定义字典针对不同CMS或框架使用专用字典。端口扫描与服务识别 (Nmap, Masscan)了解目标开放了哪些服务Web, DB, Redis等。熟悉常见服务端口及对应的安全隐患。Wappalyzer, WhatWeb快速识别网站使用的技术栈框架、CMS、服务器等。用于快速定位可能的已知漏洞或错误配置。漏洞探测Burp Suite Professional核心中的核心。用于拦截、修改、重放HTTP/HTTPS请求自动化扫描。社区版够用但专业版的主动扫描和爬虫更强大。务必精通Repeater、Intruder、Scanner模块。浏览器开发者工具 (F12)前端代码分析、网络请求查看、调试JavaScript。这是基础必须熟练。重点关注XSS、CORS、信息泄露等前端漏洞。SQLMap自动化SQL注入检测与利用工具。了解其工作原理能手工判断注入点后再使用避免盲目扫描触发告警。Nuclei基于YAML模板的快速漏洞扫描器社区模板丰富。用于快速检测已知漏洞、默认配置、敏感信息泄露等。辅助与扩展Python/Go编程编写自定义脚本处理数据、自动化重复劳动、开发专属POC。不必精通但要能看懂和修改脚本。这是从“工具使用者”迈向“研究者”的关键。漏洞知识库了解OWASP Top 10熟悉各种漏洞的原理、利用方式和修复方案。持续学习关注安全社区如Seebug、先知的最新漏洞分析。注意工具不是越多越好。初期建议集中精力精通Burp Suite和浏览器开发者工具再逐步扩展。永远记住工具是思维的延伸最重要的资产是你的大脑和对漏洞原理的理解。2.3 法律与规则红线绝对不能踩的雷区在开始测试前必须、仔细、逐字阅读目标SRC的漏洞披露政策。重点关注以下几点测试范围哪些域名、IP、APP在范围内哪些是明确禁止测试的例如生产数据库、第三方服务禁止行为通常禁止漏洞扫描器的大规模、高强度扫描尤其是对登录、注册等接口禁止DoS/DDoS禁止物理攻击、社会工程学禁止利用漏洞进一步渗透或窃取数据。报告要求漏洞报告需要包含哪些内容后面会详细讲奖励规则不同等级漏洞的奖金是多少评级标准是什么一个常见的技巧是在测试时使用独立的测试账号并在漏洞报告中注明。避免使用任何真实用户的数据进行测试。如果你的测试行为可能导致数据修改或删除务必先在小范围、非关键数据上验证。3. 漏洞挖掘实战流程从信息收集到漏洞验证现在我们假设选择了一个垂直类在线教育平台的SRC作为目标。让我们走一遍完整的实战流程。3.1 深度信息收集画出你的“攻击地图”信息收集的广度与深度直接决定了你能找到多少攻击入口。很多人只收集子域名这远远不够。第一步资产发现使用OneForAll这样的工具它集成了证书透明度、搜索引擎、DNS数据集等多种数据源能相对全面地收集子域名。python3 oneforall.py --target example.com run收集到的结果不仅是域名列表还可能包含解析出的IP地址。接下来对重要的IP段进行端口扫描。nmap -sS -sV -p- --open -T4 -oA nmap_full target_ip-sS是SYN扫描-sV探测服务版本-p-扫描所有端口--open只显示开放端口-T4加快速度-oA输出所有格式的结果。发现开放了80, 443Web22SSH6379Redis27017MongoDB等端口。Redis和MongoDB未授权访问是经典的高危漏洞需要重点记录。第二步Web应用指纹识别访问主要域名用Wappalyzer插件快速识别前端是Vue.js后端API是Java Spring Boot使用Nginx反向代理。知道技术栈后就可以联想相关的常见漏洞比如Spring Boot的Actuator未授权访问、配置不当导致的信息泄露。第三步目录与敏感文件扫描使用dirsearch或ffuf进行目录爆破。这里有个关键点使用复合字典。不要只用通用字典要结合技术栈。比如针对Spring Boot可以加入/actuator,/heapdump,/env,/metrics等路径针对管理后台可以加入/admin,/manage,/backend等。ffuf -u https://target.com/FUZZ -w spring-boot.txt,common.txt -mc 200,301,302,403扫描中发现了/admin/login(403)/api/v1/swagger-ui.html(200)/actuator/health(200)。/admin/login虽然403但说明后台存在可以后续尝试弱口令或爆破。Swagger和Actuator接口的暴露往往意味着大量的API文档和内部信息泄露是宝藏入口。第四步JS文件分析与API接口提取现代Web应用大量逻辑放在前端JS中。使用浏览器F12的“源代码”面板或使用工具如LinkFinder、JSFinder从JS文件中提取隐藏的API接口、子域名、敏感参数如AK/SK、内部邮箱、调试路径。python3 JSFinder.py -u https://target.com/static/js/app.js -d这个步骤经常能发现开发阶段遗留的测试接口、未鉴权的内部API是挖掘越权、信息泄露漏洞的绝佳来源。3.2 漏洞探测与手工验证告别无脑扫描信息收集完毕后你手头应该有一张清单一批子域名、一批开放服务、一批可疑路径和API接口。现在进入核心的漏洞挖掘环节。场景一逻辑漏洞挖掘——以“越权访问”为例假设我们通过JS文件发现了一个APIGET /api/v1/user/orders?userId12345用于查询用户订单。正常测试登录你的测试账号AuserId10001抓取访问这个API的请求返回的是A自己的订单正常。参数篡改将请求中的userId参数修改为10002假设是另一个已知用户ID重放请求。结果分析如果返回了用户10002的订单信息那么存在水平越权Insecure Direct Object Reference, IDOR。这意味着系统只在前端校验了权限后端接口没有对请求者身份和请求的资源做匹配校验。如果返回“权限不足”则说明后端有校验。深入挖掘如果存在IDOR不要只测一个接口。尝试寻找类似的模式如/api/v1/user/profile?userId,/api/v1/address?addrId。同时尝试将GET改为PUT、DELETE看是否能修改或删除他人数据这危害更大。实操心得逻辑漏洞自动化工具很难发现全靠手工和思维。关键在于理解业务流。比如在支付流程中能否修改商品价格或数量为负数在优惠券兑换中能否重复使用已过期的券多问自己“如果…会怎样”。场景二注入类漏洞挖掘——以“SQL注入”为例发现一个搜索接口GET /api/search?keyword安全page1。手工探测在Burp Repeater中修改keyword参数为安全观察返回。如果报错信息中出现了数据库错误如MySQL, PostgreSQL语法错误则存在注入点可能性极大。布尔盲注探测如果没有报错尝试安全 and 11和安全 and 12。观察页面返回内容如结果数量、某个固定字段的值是否有差异。有差异则可能存在布尔盲注。时间盲注探测如果页面返回无差异尝试安全 and sleep(5)--。观察响应时间是否明显延迟。延迟则可能存在时间盲注。工具辅助手工确认存在注入特征后可以使用SQLMap进行进一步利用获取数据。但务必使用--level和--risk参数控制测试强度并使用--proxy指向Burp以便观察流量避免被封IP。sqlmap -u https://target.com/api/search?keyword安全 --proxyhttp://127.0.0.1:8080 --level2 --risk1场景三组件漏洞挖掘——以“Fastjson反序列化”为例在信息收集时发现请求或响应头中有时会包含Content-Type: application/json并且后端是Java。可以尝试探测是否存在Fastjson。版本探测向一个已知的JSON接口如登录发送一个包含type字段的畸形JSON payload观察报错信息是否泄露Fastjson版本。漏洞探测如果版本在已知漏洞范围内如1.2.24, 1.2.47等可以构造相应的反序列化payload进行测试。这类漏洞通常危害极大RCE但测试需要格外小心最好使用DNSLog等无害方式验证漏洞是否存在避免对生产环境造成影响。{ type: java.net.Inet4Address, val: your-dnslog-subdomain.dnslog.cn }如果DNSLog平台收到解析记录则证明存在反序列化漏洞。3.3 漏洞组合与危害提升从低危到高危单个漏洞可能评级不高但组合起来可能产生“化学反应”。一个XSS低危 后台管理员Cookie通过其他信息泄露获得 获取后台权限高危。一个任意文件读取中危 读取到数据库配置文件 数据库权限泄露高危。一个未授权访问的API中危 该API功能是发送系统通知 可伪造管理员向所有用户发送诈骗消息高危。在挖掘时要有“攻击链”思维。找到一个入口点后思考它能拿到什么信息如其他用户ID、文件名、路径这些信息能否作为下一个漏洞的输入最终能达到什么效果如控制服务器、获取核心数据。4. 漏洞报告编写与提交让你的成果价值最大化挖到漏洞只是成功了一半一份清晰、专业的报告是获得认可和奖励的关键。糟糕的报告可能导致漏洞被误判或拒绝。4.1 报告的核心要素PDCA循环一份优秀的漏洞报告应该让审核人员无需联系你就能快速复现和理解漏洞。我习惯用以下结构标题简明扼要。例如“[目标域名] 后台订单查询接口存在水平越权可查看任意用户订单信息”。漏洞等级根据目标SRC的定级标准自评如高危、中危、低危。如果拿不准可以保守一点。漏洞类型如IDOR、SQL注入、XSS、信息泄露等。影响组件/URL精确到存在漏洞的接口URL或功能模块。漏洞描述前置条件需要登录吗需要什么权限的账号重现步骤这是核心。像写食谱一样一步一步写清楚。从打开浏览器开始到如何触发漏洞结束。每一步最好配上截图。步骤1使用账号A用户名/密码test1/123456登录系统。步骤2访问用户中心点击“我的订单”抓包得到请求GET /api/order/list?userId10001。步骤3在Burp Suite Repeater中将userId参数修改为10002重放请求。步骤4服务器返回了用户10002的订单详情见截图。请求与响应附上触发漏洞的原始HTTP请求和响应数据可脱敏敏感信息。Burp Suite可以直接复制Copy as curl command或Copy to file。漏洞证明截图或短视频。截图要包含浏览器地址栏、请求/响应关键信息。GIF或短视频更能直观展示。修复建议给出具体的、可操作的修复方案。这体现了你的专业性。例如对于IDOR建议“后端在查询订单时应从当前登录用户的会话信息中获取userId而非直接信任客户端传入的参数并进行强制比对”。其他信息测试使用的浏览器版本、Burp Suite版本、测试账号等。4.2 提交与沟通技巧一洞一报每个独立的漏洞单独提交一份报告不要混在一起。遵守平台格式有些SRC平台有自己的报告模板务必使用。耐心等待审核需要时间尤其是大厂。不要频繁催促。理性沟通如果对评级有异议可以礼貌地引用规则或提供更多技术细节进行申诉。保持专业、克制的态度。关注动态提交后关注报告状态变化及时响应审核人员的提问。5. 高效变现与进阶之路5.1 平台选择与策略综合性平台如漏洞盒子、补天、火线。项目多适合新手广泛尝试积累经验和初始奖金。厂商自有平台如腾讯安全应急响应中心TSRC、阿里安全响应中心ASRC。奖金高荣誉感强但竞争激烈。建议在有一定经验后挑战。国外平台如HackerOne、Bugcrowd。项目国际化奖金通常以美元结算金额可观。但需要良好的英语沟通能力并注意遵守国际法律法规。策略上可以采取“农村包围城市”先在综合性平台或中小型SRC练手打磨技术和报告能力等有几个高质量漏洞记录后再去挑战顶级SRC。5.2 提升挖掘效率与深度建立知识体系系统学习OWASP Top 10、OWASP API Security Top 10。理解每种漏洞的原理、利用、防御。代码审计能力如果目标开源尝试进行代码审计。这是发现深层次、逻辑复杂漏洞的最有效手段。关注新兴技术云原生K8s, Docker、IoT、区块链、AI应用的安全问题正在成为新的热点提前布局学习。自动化辅助用Python编写脚本自动化完成信息收集、初步筛查等重复性工作把精力留给深度手工测试。交流与分享多逛安全社区看别人的漏洞分析文章学习思路。也可以分享自己的经验教学相长。5.3 常见问题与避坑指南问题可能原因/排查思路解决方案/避坑技巧提交的漏洞被判定为“重复”别人比你早提交几分钟漏洞是已知的通用型问题如jQuery低版本XSS。信息收集要快、准、全。多关注新上线的业务、新发布的版本。挖掘逻辑漏洞重复率远低于通用组件漏洞。漏洞被评级为“无风险”或“低危”漏洞危害描述不清或实际利用条件苛刻如需要管理员点击。在报告中清晰阐述最坏情况下的影响假设攻击者已经具备XX条件。尝试组合利用提升危害。测试时IP被封锁使用了扫描器进行高强度、高频次请求触发了WAF/IPS的防护规则。控制测试频率在Burp Suite中设置限速Throttle。手工测试为主工具扫描为辅。使用代理池需谨慎确认政策允许。找不到漏洞很沮丧目标防护太好测试方法单一缺乏耐心。调整目标选择更适合新手的SRC。回归基础检查信息收集是否彻底。学习一种新的漏洞类型如SSRF、XXE并针对性测试。坚持挖洞需要时间和运气。担心法律风险测试行为超出了授权范围。反复阅读并严格遵守测试规则。所有测试在授权范围内进行。对存疑的操作可以先发邮件向SRC官方咨询。保留所有测试记录和沟通记录。这条路没有捷径它需要持续的学习、大量的实践和不断的思考。我从第一个只值50块钱的反射型XSS漏洞开始到后来能独立发现高危的远程代码执行漏洞中间经历了无数个毫无收获的夜晚和报告被驳回的沮丧。但每一次深入分析、每一次与审核人员的技术交流都让我的能力实实在在增长了一分。挖SRC最大的收获不仅仅是奖金更是那种通过自己的技术发现系统薄弱环节并帮助它变得更安全的成就感。最后分享一个习惯建立一个自己的“漏洞笔记”记录每一个测试过的目标、用过的Payload、灵光一现的思路甚至是失败的尝试。这份笔记会成为你专属的武器库随着时间推移它的价值会远超你的想象。