1. 先聊清楚這個副業(yè)的真實(shí)門檻和回報周期很多人問我SRC漏洞挖掘到底能不能當(dāng)成副業(yè)來做是不是真的像網(wǎng)上說的那樣“零基礎(chǔ)、上手快、一挖就幾千塊”。我把話放前面SRC漏洞挖掘確實(shí)適合作為技術(shù)型副業(yè)但它不是“撿錢”的副業(yè)而是“積累型”的副業(yè)。我見過最快的人接觸漏洞挖掘三個月就提交了第一個高危漏洞也見過很多人學(xué)了兩周掃了一圈目錄沒結(jié)果就放棄了。差距不在天賦而在對“門檻”的理解。先說結(jié)論性的東西SRC平臺本身是面向個人的注冊賬號、閱讀授權(quán)范圍、測試目標(biāo)資產(chǎn)這套流程沒有前置學(xué)歷或證書要求這是它“門檻低”的原因。但漏洞挖掘的底層能力——Web工作原理、HTTP協(xié)議交互、前后端代碼閱讀、常見漏洞類型的成因與利用條件——是需要系統(tǒng)補(bǔ)齊的。零基礎(chǔ)的意思不是“零準(zhǔn)備直接上”而是“從零開始準(zhǔn)備路徑清晰可見”。從投入產(chǎn)出比來看我的經(jīng)驗(yàn)是前3個月基本是純投入期能挖到中低危漏洞已經(jīng)算不錯6個月左右開始進(jìn)入穩(wěn)定輸出期月均幾百到幾千元是有可能的堅(jiān)持一年以上的有人能做到月入五位數(shù)但那是少數(shù)。這個副業(yè)真正的價值在于每一次測試都在訓(xùn)練你的邏輯思維和信息搜集能力這種能力的積累是可持續(xù)增值的。還有一點(diǎn)很多人忽略SRC不只是“補(bǔ)天”或“教育行業(yè)平臺”那幾家。大型廠商自建SRC比如各互聯(lián)網(wǎng)大廠的安全應(yīng)急響應(yīng)中心、行業(yè)SRC、國家級的CNVD漏洞平臺都是提交入口。不同平臺的審核偏好、獎勵標(biāo)準(zhǔn)、處理周期差別很大這本身就是一門信息功課。我建議新手上路前先把主流的5-8個SRC平臺的規(guī)則和獎勵制度通讀一遍不要一上來就埋頭掃描。1.1 為什么人人都說“門檻低”但多數(shù)人三個月就放棄因?yàn)椤澳芴峤宦┒础焙汀澳芊€(wěn)定挖到漏洞”是兩回事。注冊一個SRC賬號十分鐘就能完成但提交一個被確認(rèn)有效、且定級不低的漏洞背后需要的是一條完整的知識鏈。我拆一下這條鏈第一環(huán)理解Web應(yīng)用的請求與響應(yīng)模型知道瀏覽器發(fā)給服務(wù)器的數(shù)據(jù)長什么樣服務(wù)器返回的數(shù)據(jù)又意味著什么。第二環(huán)掌握常見漏洞的“觸發(fā)點(diǎn)”比如參數(shù)進(jìn)入數(shù)據(jù)庫查詢可能造成SQL注入文件上傳接口缺少類型校驗(yàn)可能造成惡意文件上傳越權(quán)接口沒校驗(yàn)對象歸屬就可能造成水平越權(quán)。第三環(huán)能讀懂目標(biāo)業(yè)務(wù)的業(yè)務(wù)邏輯否則你掃到一堆接口也不知道哪個有漏洞價值。第四環(huán)會寫漏洞報告能把復(fù)現(xiàn)步驟、影響范圍、危害證明表達(dá)清楚。很多人卡在第三環(huán)。他們學(xué)了一堆漏洞原理去真實(shí)SRC平臺一看發(fā)現(xiàn)目標(biāo)是一個成熟的商業(yè)系統(tǒng)不像靶場那樣把漏洞擺在明面上于是不知道怎么下手。這就是“門檻低但放棄率高”的根本原因——漏洞挖掘不是套公式而是理解業(yè)務(wù)后的“找茬”過程。1.2 SRC規(guī)則里藏著的信息差獎金額度與審核偏好同樣是高危漏洞在不同平臺的收益可能差一個量級。以我看到的公開獎勵數(shù)據(jù)為例整理成表格方便對比平臺類型典型漏洞等級獎勵區(qū)間參考審核特點(diǎn)大型廠商SRC嚴(yán)重/高危數(shù)千至數(shù)萬元重視影響范圍RCE和核心數(shù)據(jù)泄露定級高教育行業(yè)SRC高危/中危數(shù)百至數(shù)千元對越權(quán)、信息泄露比較敏感審核相對快綜合眾測平臺按項(xiàng)目定價數(shù)百至數(shù)千元每個項(xiàng)目規(guī)則不同需逐一閱讀CNVD等國家平臺原創(chuàng)漏洞證明 / 積分無直接現(xiàn)金獎勵主要用于證明能力和獲取編號值得注意的信息差有兩個。第一很多平臺有“新人獎勵”“首漏洞獎勵”機(jī)制新注冊賬號頭幾次有效提交往往有額外加分或現(xiàn)金激勵這是新手不該浪費(fèi)的窗口期。第二審核的口味差異很大有的平臺對SQL注入、XSS這類常見漏洞已經(jīng)“免疫”低危的反射型XSS可能直接被忽略但如果是業(yè)務(wù)邏輯漏洞比如訂單金額篡改、驗(yàn)證碼繞過、水平越權(quán)反而可能定到中高危。所以入門階段與其死磕技術(shù)難度高的漏洞類型不如先吃透目標(biāo)平臺的“漏洞偏好”。授權(quán)范圍也要反復(fù)確認(rèn)。一個SRC域名后面那句“測試范圍包括但不限于”直接影響你哪些能測、哪些不能測。我之前遇到過新人在廠商SRC的子域名上做目錄爆破結(jié)果那個子域名是第三方部署的不在授權(quán)范圍內(nèi)最后不僅漏洞被駁回賬號還被做了警告處理。測試前讀授權(quán)范圍是比學(xué)技術(shù)更優(yōu)先的事。2. 零基礎(chǔ)起步技術(shù)棧準(zhǔn)備到什么程度才算“夠用”聊完預(yù)期管理進(jìn)入正題。零基礎(chǔ)要準(zhǔn)備的技術(shù)棧我按“必須懂”“需要懂”“選擇性懂”三個層級來講避免新手掉進(jìn)“把每個知識點(diǎn)都學(xué)透才敢動手”的陷阱。2.1 必須懂HTTP協(xié)議、請求響應(yīng)與瀏覽器開發(fā)者工具漏洞挖掘的對象是Web應(yīng)用而Web應(yīng)用的交互基礎(chǔ)是HTTP協(xié)議。你不必背下RFC文檔但必須理解一次完整的HTTP請求由哪些部分組成請求行方法路徑協(xié)議版本、請求頭Host、User-Agent、Cookie、Content-Type等、請求體POST提交的參數(shù)。同理響應(yīng)包里的狀態(tài)碼、響應(yīng)頭、響應(yīng)體每一部分都可能成為漏洞線索。我建議的練習(xí)方法是用瀏覽器打開任意一個網(wǎng)站按F12進(jìn)入開發(fā)者工具切到Network面板刷新頁面一條一條看請求和響應(yīng)。重點(diǎn)看幾點(diǎn)哪些接口是動態(tài)請求還是靜態(tài)資源請求頭里有沒有奇怪的字段登錄后Cookie發(fā)生了什么變化。堅(jiān)持看一周你對Web請求的理解會超過很多“背了三個月原理但沒看過真實(shí)流量”的人。在此基礎(chǔ)上安裝并熟悉一款抓包工具。Burp Suite是社區(qū)使用最廣的免費(fèi)版足夠入門使用如果不想裝Java環(huán)境也可以用瀏覽器插件或Fiddler替代。核心能力就一個能截斷請求、修改參數(shù)、重放請求。這三項(xiàng)能力會貫穿你之后所有漏洞挖掘工作。2.2 需要懂前后端代碼的“閱讀理解”能力零基礎(chǔ)不需要一上來就學(xué)完整的前端工程化但要有能力讀懂一段JavaScript代碼或一段后端查詢邏輯從而判斷漏洞點(diǎn)在哪里。具體來說前端看懂HTML表單元素與JavaScript的事件處理邏輯知道哪些參數(shù)是前端拼出來提交給后端的哪些參數(shù)藏在Cookie或localStorage里。后端至少認(rèn)識一種后端語言的“參數(shù)接收—邏輯處理—數(shù)據(jù)存儲”的基本寫法。推薦從PHP或Python入門因?yàn)榫W(wǎng)上漏洞分析文章里這兩種語言出現(xiàn)頻率最高你讀得懂別人寫的分析才能轉(zhuǎn)化為自己的思路。數(shù)據(jù)庫理解SQL查詢的基本語法尤其是SELECT、WHERE、拼接字符串和注釋符號的含義。這是SQL注入理解的基礎(chǔ)。這套知識不需要報課B站和各大安全社區(qū)有很多免費(fèi)視頻配合一個真實(shí)項(xiàng)目邊看邊拆效率遠(yuǎn)高于啃書本。我的建議是找一個開源項(xiàng)目比如一個簡單的博客系統(tǒng)本地部署起來然后打開代碼對著業(yè)務(wù)功能看用戶注冊時參數(shù)怎么走進(jìn)來的、登錄驗(yàn)證在哪里做的、發(fā)表文章后數(shù)據(jù)怎么存的。這個過程不需要寫代碼只看代碼和對照請求數(shù)據(jù)包堅(jiān)持一到兩周“代碼閱讀能力”就有質(zhì)的提升。2.3 靶場訓(xùn)練從“看得懂”到“挖得到”的過渡不建議直接拿真實(shí)SRC當(dāng)練習(xí)場先過靶場這一關(guān)。靶場的意義在于它的漏洞是確定的、環(huán)境是可控的你可以驗(yàn)證自己的每一步判斷是否正確。我推薦這條訓(xùn)練路徑DVWADamn Vulnerable Web Application適合完全沒概念的新手它把SQL注入、XSS、文件上傳等漏洞按難度分級從low到impossible逐級挑戰(zhàn)。sqli-labs專攻SQL注入的靶場80多關(guān)由淺入深每關(guān)背后都有對應(yīng)的注入手法。把里面的關(guān)卡刷三遍以上你對SQL注入的理解會超過大多數(shù)“看過文章但沒練過”的人。Pikachu靶場覆蓋面比較全除了注入和XSS還有越權(quán)、SSRF、文件包含等邏輯型漏洞適合建立全局視野。VulHub或本地搭建的綜合環(huán)境模擬真實(shí)業(yè)務(wù)系統(tǒng)難度接近SRC實(shí)戰(zhàn)適合在正式去平臺提交前做“模擬考”。訓(xùn)練節(jié)奏上我的經(jīng)驗(yàn)是“慢就是快”。不要追求一天刷十關(guān)而要確保每一關(guān)你都能回答三個問題漏洞為什么會存在觸發(fā)它需要什么條件如果要修復(fù)代碼應(yīng)該怎么寫能回答清楚這三個問題說明你是真的理解了這個漏洞而不是碰巧試出了結(jié)果。3. 信息收集是漏洞挖掘的隱形分水嶺如果你去問那些“一天提交三四個漏洞”的人他們的共同點(diǎn)往往不是“漏洞知識更豐富”而是信息收集做得更深、更細(xì)、更系統(tǒng)。漏洞不會憑空出現(xiàn)它藏在某一個域名、某一個接口、某一個參數(shù)后面你的信息收集決定你能看到多大的攻擊面。3.1 資產(chǎn)測繪從根域名到邊緣資產(chǎn)的線索鏈路SRC平臺的授權(quán)通常以域名或IP段為范圍但目標(biāo)公司實(shí)際暴露在互聯(lián)網(wǎng)上的資產(chǎn)往往遠(yuǎn)超授權(quán)列表里的幾個主域名。子域名、測試環(huán)境、舊版本系統(tǒng)、第三方部署的接口這些邊緣資產(chǎn)常常存在防護(hù)薄弱、無人維護(hù)的情況反而更容易出現(xiàn)漏洞。我常用的資產(chǎn)收集路徑根域名確定后先做子域名收集。工具層面可以用OneForAll、subfinder這類開源工具也可以直接查證書透明度日志crt.sh把目標(biāo)域名輸進(jìn)去能看到它簽過哪些證書證書里包含的子域名非常全。對收集到的每個子域名先看它是否解析到獨(dú)立IP再判斷是否屬于同一公司。有些SRC平臺的授權(quán)范圍只覆蓋主站域名不覆蓋子域名或者只覆蓋特定后綴這一步必須人工核對。對確定在范圍內(nèi)的資產(chǎn)用指紋識別工具或手動查看確定它的Web框架、中間件版本、前端框架類型。指紋識別的意義在于已知框架版本對應(yīng)著已知漏洞列表這等于直接給你劃出了漏洞挖掘的范圍。3.2 目錄枚舉與歷史泄露兩個容易被低估的信息源目錄枚舉也叫目錄掃描用字典去請求目標(biāo)站點(diǎn)的常見目錄和文件路徑試圖找出未在頁面導(dǎo)航中出現(xiàn)的管理后臺、備份文件、測試接口或源碼包。常用的工具有dirsearch、gobuster字典可以選用dirsearch默認(rèn)字典加上自己收集的“高價值路徑字典”比如 /actuator、/.git、/swagger-ui.html、/api/v1/ 這類路徑。但我必須特別強(qiáng)調(diào)目錄枚舉是噪音最大的信息收集方式。一個大型站點(diǎn)可能有幾萬條路徑其中99%要么是404要么是無意義的靜態(tài)資源。新手掃了半小時看著滿屏結(jié)果很容易陷入“不知道下一步該看哪條”的困境。我的經(jīng)驗(yàn)是優(yōu)先看狀態(tài)碼為200且路徑中包含admin、api、upload、test、backup、config、swagger、git等關(guān)鍵字的條目這些路徑背后往往藏著敏感信息或未授權(quán)接口。另一個信息源是“歷史泄露”。用搜索引擎或一些公開的互聯(lián)網(wǎng)資產(chǎn)測繪平臺搜索目標(biāo)域名的敏感信息經(jīng)常能發(fā)現(xiàn)程序員把配置文件和密鑰提交到了公開代碼托管平臺。這類泄露如果直接關(guān)聯(lián)到目標(biāo)在SRC授權(quán)范圍內(nèi)的資產(chǎn)是可以作為有效漏洞提交的而且通常能定到中高危。3.3 信息收集的筆記習(xí)慣讓每一次測試可復(fù)用我見過最可惜的情況是一個測試者花了兩天收集了上百個子域名和目錄條目但沒做記錄第三天開始測試時連昨天掃到哪都忘了又重新掃一遍。漏洞挖掘不是“一次性思維勞動”而是“系統(tǒng)化的信息作戰(zhàn)”筆記就是你自己的情報系統(tǒng)。我的個人習(xí)慣是每個目標(biāo)建一個表格資產(chǎn)URL指紋/技術(shù)棧開放端口是否存在已知漏洞備注http://abc.example.com/adminSpring Boot 2.x443, 22Actuator未授權(quán)待深入http://api.example.com/swagger-ui.htmlSwagger UI443API接口文檔泄露待測試每次測試后把已經(jīng)測過的路徑、參數(shù)、結(jié)論記錄下來下次直接在筆記基礎(chǔ)上推進(jìn)不僅效率翻倍還能避免對同一目標(biāo)重復(fù)提交漏洞重復(fù)提交在SRC平臺是會被忽略的還可能影響信譽(yù)。4. 漏洞分析的落地方法論從拿到目標(biāo)到鎖定漏洞點(diǎn)很多人最大的困惑是信息收集做完了站在目標(biāo)面前下一步該做什么這里我分享一套自己打磨過很多次的“從入口到交叉利用”分析流程它不是某個漏洞的固定打法而是一整套適合SRC實(shí)戰(zhàn)的思維方式。4.1 先把目標(biāo)拆成一張功能地圖不要打開一個網(wǎng)站就開始掃描。先人工走一遍這個站點(diǎn)的核心功能用清單方式記錄每個功能入口用戶體系注冊、登錄、找回密碼、修改密碼、個人資料編輯、頭像上傳、注銷賬號。內(nèi)容體系發(fā)布文章/動態(tài)、評論、點(diǎn)贊、收藏、搜索、附件上傳和下載。交易體系如果有下單、支付、查詢訂單、申請退款、發(fā)票管理。后臺管理如果能探測到數(shù)據(jù)列表查詢、用戶管理、配置修改、日志查看、系統(tǒng)監(jiān)控。這張功能地圖就是你的攻擊面清單。一個成熟的Web應(yīng)用每個功能入口背后都連著數(shù)據(jù)庫查詢、文件讀寫、權(quán)限校驗(yàn)、金額計算等敏感操作任何一個環(huán)節(jié)出現(xiàn)疏漏都可能形成漏洞。4.2 用數(shù)據(jù)流的眼光追蹤每一個參數(shù)功能地圖建好之后選擇一個入口進(jìn)行“數(shù)據(jù)流追蹤”。以“找回密碼”功能為例你要追幾條線用戶在表單里輸入手機(jī)號/郵箱這個值被提交到哪個接口參數(shù)名是什么服務(wù)端收到參數(shù)后是直接拼接SQL去查用戶表還是走了參數(shù)化查詢通過修改參數(shù)值觀察響應(yīng)變化可以判斷是否存在注入。驗(yàn)證碼是存在服務(wù)端Session里還是放在前端Cookie里如果放在Cookie里修改驗(yàn)證碼值后提交看能不能繞過校驗(yàn)。重置密碼的鏈接有沒有帶tokentoken是綁定用戶的還是隨機(jī)生成的如果token只存在于URL中且用戶id可以篡改就可能存在垂直越權(quán)。追蹤數(shù)據(jù)流時我要重點(diǎn)看三類東西參數(shù)值改了之后響應(yīng)是否變化、請求重放是否仍有效、不同用戶之間的數(shù)據(jù)是否可互換。這三個觀察點(diǎn)基本覆蓋了注入、邏輯繞過、越權(quán)三類最常見漏洞的判定條件。4.3 邏輯漏洞是零基礎(chǔ)最容易出成績的賽道相比SQL注入和XSS這類需要一定技術(shù)積累的漏洞類型越權(quán)和業(yè)務(wù)邏輯漏洞與“編程思維”的關(guān)聯(lián)更緊密也更適配新手快速出成績原因在于這類漏洞的測試方式簡單直接但需要測試者對業(yè)務(wù)有足夠理解而業(yè)務(wù)理解恰恰是很多人不重視、但你可以做深的部分。水平越權(quán)的典型表現(xiàn)兩個普通用戶A和BA登錄后修改URL中的用戶id或訂單id就能查看或操作B的數(shù)據(jù)。測試方法很簡單注冊兩個賬號登錄A賬號獲取某個訂單詳情鏈接退出后用B賬號去請求同一個鏈接如果返回了A的訂單數(shù)據(jù)水平越權(quán)就存在。漏洞報告的危害描述可以寫“任意用戶訂單信息泄露可批量遍歷”。垂直越權(quán)的典型表現(xiàn)普通用戶或者未登錄用戶可以訪問管理員接口。測試關(guān)注點(diǎn)在于后臺接口在不在前端路由里、接口請求有沒有校驗(yàn)當(dāng)前用戶角色、修改請求頭里的角色字段能不能蒙混過關(guān)。這類漏洞在很多老舊系統(tǒng)里非常常見定級通常在中危以上。邏輯漏洞的測試思路不是“越復(fù)雜越好”而是“把業(yè)務(wù)規(guī)則挨個推翻試試”。驗(yàn)證碼可繞過支付金額能不能改成負(fù)數(shù)下單—支付—發(fā)貨的流程能不能跳過某一步優(yōu)惠券能不能重復(fù)使用每一個問題背后都可能是你的第一個有效漏洞。5. 常見漏洞類型的實(shí)戰(zhàn)手法拆解前面講的是思路這一章落到具體漏洞類型的手法。我沒有把OWASP Top 10全列一遍而是挑SRC實(shí)戰(zhàn)中出漏洞頻率最高、新手最容易上手驗(yàn)證的幾類逐個說明判定鏈路。5.1 SQL注入從報錯到盲注的完整判定鏈路SQL注入的本質(zhì)是用戶輸入被拼接進(jìn)SQL查詢語句破壞了原有語法結(jié)構(gòu)。測試時先找“查詢類”功能入口搜索、篩選、詳情、排序然后把參數(shù)值從正常值改成一個英文單引號提交后觀察響應(yīng)如果返回數(shù)據(jù)庫報錯信息如“SQL syntax error”說明參數(shù)可能拼進(jìn)了SQL語句注入點(diǎn)大概率存在。如果頁面沒有變化嘗試加注釋符-- 或 #看能不能閉合語句再觀察響應(yīng)差異。如果頁面正常返回和不正常返回的差異不明顯用時間判斷輸入AND SLEEP(5)或AND DBMS_PIPE.RECEIVE_MESSAGE(‘a(chǎn)’,5)這類帶延時的語句看響應(yīng)時間是否加了5秒左右。延時生效說明條件語句被執(zhí)行了存在時間盲注。測試SQL注入時我強(qiáng)烈建議注意三點(diǎn)。第一優(yōu)先測試POST參數(shù)和Cookie參數(shù)不要只盯著URL上的GET參數(shù)很多系統(tǒng)的SQL注入點(diǎn)其實(shí)藏在POST請求體里。第二能用邏輯判斷就別急著上延時語句延時測試會拖慢整個測試節(jié)奏也容易被WAF攔截。第三報告里描述危害時說要“可獲取數(shù)據(jù)庫中敏感數(shù)據(jù)”就夠了不要在SRC平臺里實(shí)際拖庫或批量讀取數(shù)據(jù)這是職業(yè)道德問題也是平臺規(guī)則紅線。5.2 XSS反射型、存儲型與DOM型的觸發(fā)差異XSS的核心是“前端把用戶輸入當(dāng)成了代碼執(zhí)行”。測試時找所有“輸入后內(nèi)容會顯示在頁面上”的入口搜索框、評論區(qū)、昵稱、留言板等。輸入一段測試標(biāo)記比如img src1 onerroralert(1)提交后看頁面是否彈窗。彈了說明執(zhí)行了。三類XSS要分清楚反射型輸入隨請求發(fā)送隨響應(yīng)直接返回并被瀏覽器執(zhí)行一般出現(xiàn)在搜索框、參數(shù)回顯這類場景危害相對低需要誘導(dǎo)用戶點(diǎn)擊構(gòu)造的鏈接。存儲型輸入被存進(jìn)數(shù)據(jù)庫任何用戶訪問相關(guān)頁面都會觸發(fā)危害高典型場景是個人資料修改處的XSS管理后臺只要有人查看等于拿到了后臺的會話權(quán)限。DOM型漏洞不在服務(wù)端響應(yīng)里而是前端JavaScript代碼對URL或輸入內(nèi)容進(jìn)行了不安全處理這類XSS更難發(fā)現(xiàn)但危害完全取決于DOM操作邏輯。給新手的建議先從反射型和存儲型入手找到后可提交“中?！甭┒粗攸c(diǎn)描述“可在目標(biāo)站點(diǎn)執(zhí)行任意JavaScript獲取用戶Cookie或進(jìn)行釣魚攻擊”。DOM型XSS排查需要一定的前端功底可以放到進(jìn)階階段。5.3 SSRF與文件上傳兩條高價值漏洞的閉合條件SSRF服務(wù)端請求偽造的本質(zhì)是服務(wù)端接收用戶傳入的URL參數(shù)后代替用戶向該URL發(fā)起請求且沒有做內(nèi)網(wǎng)限制。常見觸發(fā)點(diǎn)圖片加載/下載功能、URL分享預(yù)覽功能、Webhook配置功能、PDF生成功能。測試方法把URL參數(shù)改成http://127.0.0.1:8080/或http://內(nèi)網(wǎng)IP/看響應(yīng)中是否出現(xiàn)內(nèi)網(wǎng)服務(wù)的特征內(nèi)容。文件上傳漏洞在SRC中同樣常見且影響范圍大。測試關(guān)注點(diǎn)后綴名校驗(yàn)直接把 .php/.jsp/.asp 后綴改成大小寫混合.PhP或雙重后綴.php.jpg看是否繞過。Content-Type校驗(yàn)修改請求頭的Content-Type字段或者在合法后綴文件中加入一句話木馬內(nèi)容看是否被攔截。文件存儲路徑泄露上傳成功后服務(wù)端返回的路徑是否包含可預(yù)測的目錄結(jié)構(gòu)如果是就可能被直接訪問。文件上傳類漏洞一旦能成功上傳可執(zhí)行腳本定級通常在“嚴(yán)重”但也正因?yàn)槲：Ω咂脚_審核格外嚴(yán)格。我的建議是測試時只證明“可以上傳非預(yù)期文件”即可不要上傳真正的木馬拿到權(quán)限后做更多操作否則不僅漏洞報告難以通過還可能惹上不必要的麻煩。6. 漏洞報告怎么寫才更容易通過審核并拿到獎勵挖到漏洞只算完成了一半。很多新手提交的漏洞被忽略原因不是漏洞不存在而是報告寫得不夠清楚、不夠有說服力。一個好的漏洞報告要讓審核人員在五分鐘內(nèi)完全復(fù)現(xiàn)你的測試過程并認(rèn)可危害。6.1 報告結(jié)構(gòu)五要素一個都不能少一份高效通過審核的報告我建議包含以下五塊漏洞標(biāo)題格式一般是“目標(biāo)URL漏洞類型危害概要”例如“XX系統(tǒng)后臺接口存在水平越權(quán)漏洞可遍歷查看任意用戶訂單”。漏洞描述用兩到三句話說明該漏洞屬于什么類型、為什么會存在比如“接口未校驗(yàn)訂單歸屬參數(shù)導(dǎo)致任意用戶可越權(quán)訪問他人訂單數(shù)據(jù)”不要只粘貼數(shù)據(jù)包。復(fù)現(xiàn)步驟分步驟寫出完整操作過程每一步最好帶上截圖或關(guān)鍵請求響應(yīng)包。要具體到“點(diǎn)擊哪個按鈕”“修改哪個參數(shù)值”“提交后返回什么內(nèi)容”。影響范圍說明攻擊者能利用這個漏洞做什么能影響多少用戶或多少數(shù)據(jù)盡量量化。修復(fù)建議給出至少一條可落地的修復(fù)建議比如“在查詢訂單接口中加入當(dāng)前登錄用戶ID與訂單歸屬的強(qiáng)校驗(yàn)”這會讓審核人員覺得你的報告是經(jīng)過思考的不是碰運(yùn)氣試出來的。寫報告時最容易犯的錯是“只貼包不解釋”。貼一個巨大的HTTP響應(yīng)包但沒有任何文字說明審核人員根本看不懂。我的習(xí)慣是響應(yīng)包只截取關(guān)鍵字段并用加粗或標(biāo)注說明我要證明的是什么。6.2 定級判斷與審核爭議處理提交前自己先做一個定級預(yù)估避免報告定級與平臺審核差距過大導(dǎo)致爭議。一般來說漏洞類型常見定級關(guān)鍵判斷依據(jù)SQL注入/命令執(zhí)行/RCE嚴(yán)重能否直接獲取數(shù)據(jù)庫數(shù)據(jù)或系統(tǒng)權(quán)限水平越權(quán)/批量數(shù)據(jù)泄露高危是否涉及核心業(yè)務(wù)數(shù)據(jù)和用戶隱私存儲型XSS中危-高危觸發(fā)是否需要管理端查看傳播范圍多大反射型XSS/低危信息泄露低危-中危對業(yè)務(wù)的影響程度目錄枚舉/指紋泄露低?；蚝雎云脚_審核普遍不看重單純的信息暴露如果審核人員駁回了你的漏洞不要急著吵。先重新檢查你的復(fù)現(xiàn)步驟是否在授權(quán)范圍內(nèi)、是否真的影響公開用戶、是否存在被修復(fù)的版本差異。有些駁回是因?yàn)閷徍巳藛T在你測試后修復(fù)了漏洞或更新了版本這種時候補(bǔ)充說明“我測試的版本是哪個時間點(diǎn)”往往可以申訴成功。但如果有一次確實(shí)屬于誤報老實(shí)認(rèn)了比反復(fù)申訴消耗自己的信譽(yù)強(qiáng)得多。7. 副業(yè)路上的隱蔽坑與長期心態(tài)管理最后聊幾個很少有人明說、但我認(rèn)為比技術(shù)更重要的坑。這些坑一旦踩中輕則浪費(fèi)幾個月時間重則讓自己與整個行業(yè)漸行漸遠(yuǎn)。7.1 授權(quán)邊界再強(qiáng)調(diào)一遍SRC平臺給了你測試范圍不等于范圍內(nèi)的所有系統(tǒng)都可以用任何方式測試。SQL注入測試時進(jìn)行延時注入可能導(dǎo)致目標(biāo)業(yè)務(wù)卡頓嚴(yán)重的會影響真實(shí)用戶訪問目錄爆破發(fā)大量請求可能導(dǎo)致目標(biāo)WAF告警甚至觸發(fā)對源站的封禁。你在SRC平臺測試本質(zhì)上是平臺和廠商信任你而不是你擁有“無限開火權(quán)”。我見過因?yàn)橹苣δ衬繕?biāo)做高強(qiáng)度掃描導(dǎo)致線上故障賬號直接被平臺封禁的真實(shí)案例。測試前繞開核心生產(chǎn)環(huán)境、控制掃描頻率、避開業(yè)務(wù)高峰期這些是基本的職業(yè)素養(yǎng)。7.2 自動化工具的“偷懶陷阱”很多新人迷信“掃一下就能出漏洞”花大量時間配置自動化掃描器指望一鍵出報告。我的看法是自動化工具是效率放大器不是漏洞挖掘機(jī)。沒錯它的確能覆蓋到人工容易遺漏的路徑但它產(chǎn)生的誤報和噪音同樣海量。真正有效的節(jié)奏是信息收集階段多用自動化漏洞分析階段以人工為主、工具為輔。拿到一個目標(biāo)先人工走一遍功能地圖圈出可疑點(diǎn)再針對可疑點(diǎn)用工具輔助驗(yàn)證這樣既不浪費(fèi)工具的覆蓋面也不丟失人對業(yè)務(wù)邏輯的判斷力。7.3 時間投入與心態(tài)調(diào)節(jié)漏洞挖掘是一項(xiàng)需要長期保持“手感”的技能但它畢竟是個副業(yè)不要讓它在你的生活里占據(jù)全部時間。我給自己定的節(jié)奏是每周固定三到四個晚上投入兩小時剩下的時間用來閱讀新披露的漏洞分析文章、復(fù)現(xiàn)最近出現(xiàn)的公開漏洞。遇到連續(xù)一兩周挖不到漏洞的瓶頸期不要死磕換個目標(biāo)、換個漏洞類型、或者去靶場刷刷手感效果往往比硬扛好?；赝w的路徑零基礎(chǔ)入門SRC漏洞挖掘真正重要的是建立一套“理解業(yè)務(wù)—信息收集—功能拆解—數(shù)據(jù)流追蹤—驗(yàn)證利用—報告輸出”的完整閉環(huán)。技術(shù)是支撐這套閉環(huán)的工具但不是閉環(huán)本身。只要沿著這個閉環(huán)持續(xù)訓(xùn)練第一次挖到有效漏洞只是時間問題。接下來要做的就是打開第一個靶場開始你的第一輪請求與響應(yīng)的仔細(xì)端詳。