SRC漏洞实战：从信息收集到报告撰写的完整挖洞指南

1. 项目概述：从“一眼千元”说起

最近在圈子里，经常能看到“SRC漏洞实战：一眼千元”这样的标题，很多刚入行的朋友，甚至是一些有一定经验的从业者，都对这个说法充满了好奇和向往。听起来好像只要“看一眼”某个系统，就能发现价值千元的漏洞，轻松实现“副业自由”。作为一个在这个领域摸爬滚打了十多年的老鸟，我觉得有必要和大家聊聊这个话题的真实面貌。

“一眼千元”这个说法，更像是一种吸引眼球的比喻，它背后传递的核心信息是：在安全应急响应中心（SRC）的漏洞挖掘中，确实存在一些高价值、易发现的漏洞模式，一旦掌握，就能显著提升你的挖掘效率和回报率。这里的“一眼”，指的并不是真的漫无目的地扫一眼，而是指经过系统化训练后，对特定漏洞特征、特定资产类型、特定业务场景形成的条件反射式的敏感度。你能在别人忽略的角落里，快速识别出潜在的风险点。而“千元”，则代表了主流SRC平台对于中高危漏洞的常规奖励范围，从几百到数千甚至上万不等。

那么，这个项目适合谁呢？首先，当然是已经具备一定Web安全基础，了解OWASP Top 10漏洞原理（如SQL注入、XSS、文件上传、逻辑漏洞等）的安全爱好者或初级安全工程师。其次，是那些希望将理论知识转化为实际收益，通过实战锻炼自己“挖洞”能力的同学。最后，也适合那些想了解企业真实安全状况和漏洞挖掘方法论的朋友。本文将围绕“SRC漏洞实战”这个核心，抛开华而不实的噱头，深入拆解从目标选择、信息收集、漏洞挖掘到报告提交的全流程，并分享那些真正能帮你把“一眼”变成“千元”的实战经验和思维模式。

2. 核心思路与目标选择策略

很多人一上来就打开漏洞扫描器对着某个大厂域名一顿狂扫，结果往往是被WAF封IP、收律师函，或者挖出一堆毫无价值的低危信息泄露。高效的SRC漏洞挖掘，始于精准的战略规划。

2.1 理解SRC的运作逻辑与奖励规则

SRC的本质是企业设立的一个漏洞收集与处理平台。它的核心目的不是让你来“黑”它的系统，而是以众包的形式，借助外部安全研究者的力量，发现自身产品和服务中未知的安全风险。因此，你的行为必须严格在SRC划定的规则内进行。

注意：授权是红线中的红线。绝对不要测试公告范围之外的资产，不要使用可能影响业务稳定性的攻击手段（如DDOS、暴力破解），不要触碰用户隐私数据。一旦越界，不仅奖金拿不到，还可能承担法律责任。每个SRC的公告页，就是你行动的“宪法”。

奖励的高低通常由三个维度决定：漏洞危害等级、受影响资产的重要程度、漏洞描述的清晰与完整度。一个在核心业务系统上的远程代码执行漏洞，其价值远高于一个边缘宣传页面的反射型XSS。因此，我们的目标选择策略，应该围绕“寻找高价值资产中的常见漏洞模式”来展开。

2.2 高价值目标画像与发现技巧

什么是高价值目标？简单说，就是那些一旦出问题，会对企业业务、数据、资金或声誉造成实质性损害的系统和接口。

1. 核心业务系统：例如在线交易、支付、订单管理、用户中心、后台管理系统。这些系统直接处理敏感数据和核心业务流程。
2. 移动端API接口：现代App大量依赖后端API，这些接口可能承载着登录、支付、数据同步等关键功能，且由于客户端保护相对薄弱，往往成为突破口。
3. 合作伙伴/第三方接入点：企业与企业之间的数据对接接口、单点登录（SSO）回调地址、Webhook配置等。这些地方常因边界安全意识不足而存在隐患。
4. 新兴业务与边缘资产：这是“一眼千元”的富矿。企业快速发展时，新上线的业务模块（如新的小程序、H5活动页、营销平台）和边缘资产（如临时域名、测试环境、老旧子系统）往往是安全建设的盲区。安全团队的重心通常在核心业务，这些“边缘地带”的代码可能未经严格审计，配置可能存在疏漏。

如何发现这些目标？除了常规的子域名枚举（如使用subfinder,amass）、端口扫描，更要关注：

• 企业收购与合并：新并入的业务系统，其安全体系可能尚未与母公司对齐。
• 应用商店更新日志：App版本更新常伴随着新功能和新接口。
• JS文件分析：前端JavaScript文件中常会硬编码测试环境地址、内部API路径甚至密钥。
• 证书透明度日志：关注企业新申请的域名证书，这常对应新上线的业务。

我的一个实战心得是：建立一个属于自己的“目标监视列表”。关注你感兴趣的几家SRC，定期查看其公告更新，记录下新纳入范围的资产。同时，利用GitHub监控关键词（如公司名+“test”、“api”、“config”），有时能意外发现程序员误上传的配置文件，里面包含数据库地址、密钥等信息，这不仅能直接提交漏洞，更能为你勾勒出该企业的内部网络架构图。

3. 信息收集：构建你的“攻击面地图”

信息收集的深度和广度，直接决定了你能看到多少“漏洞可能性”。这一步不是机械地跑工具，而是像侦探一样拼凑线索。

3.1 自动化与手工结合的信息收集框架

我通常采用分层推进的策略：

第一层：资产发现

• 工具：subfinder,amass,assetfinder进行子域名枚举。
• 扩展：利用chaos（需要API key）等平台获取更全面的企业资产数据。
• 技巧：不仅收集*.example.com，还要收集关联企业、子公司品牌下的域名。使用altdns工具通过排列组合生成可能的子域名字典进行爆破。

第二层：服务与端口探测

• 工具：masscan进行全端口快速扫描，nmap对开放端口进行服务和版本识别。
• 关键点：不要只盯着80/443。一些高价值服务常运行在非常用端口上，如8080（管理后台）、9200（Elasticsearch）、27017（MongoDB）、6379（Redis）。一个未授权访问的Redis，可能就是通往内网的捷径。

第三层：Web应用信息抓取

• 工具：httpx/httprobe验证Web服务，gau/waybackurls从历史档案中获取URL，katana/crawleye进行深度爬取。
• 核心任务：收集所有可能的URL、参数、接口端点（尤其是/api/v1/这类）、JavaScript文件。这里推荐LinkFinder等工具，专门用于从JS文件中提取新的路径和子域名。

第四层：指纹识别与技术栈分析

• 工具：Wappalyzer（浏览器插件）、whatweb、nuclei的指纹模板。
• 目的：识别网站使用的CMS（如WordPress, Joomla）、框架（如Spring Boot, Laravel）、前端库（如Vue, React）、中间件（如Nginx, Apache Tomcat）及具体版本。知道目标是什么，才能知道用什么“钥匙”去开锁。例如，识别出是ThinkPHP 5.0.23，就可以直接测试是否存在已知的RCE漏洞。

3.2 关键信息提炼与攻击面分析

收集来海量数据后，需要人工进行筛选和标记，构建清晰的攻击面视图：

1. 接口分类：将收集到的URL按功能分类：登录口、注册口、文件上传点、数据查询接口（常伴id,page等参数）、密码重置接口、支付回调接口等。
2. 参数分析：重点关注接收用户输入的参数。除了常见的q,search,id,file，还要注意JSON格式的请求体、multipart/form-data中的字段名。
3. 技术栈关联漏洞：建立指纹与潜在漏洞的映射。例如：
   • Vue.js+img src动态绑定：可能存在前端模板注入或路径遍历导致的信息泄露？这关联了热词中的“vue 中img src路径 如何加token”，虽然这是开发问题，但若token可通过某种方式预测或窃取，则可能造成敏感图像数据泄露。
   • Apache Tomcat 8.x：检查是否存在PUT方法上传漏洞或后台弱口令。
   • 识别出Fastjson组件：立即测试反序列化漏洞。
4. 特殊文件与目录：手动检查robots.txt,sitemap.xml,.git/,.svn/,WEB-INF/web.xml等，这些地方常泄露敏感路径或源码。

这个过程，就是为“一眼”做准备。当你看到一个登录框，你脑子里应该立刻浮现出：弱口令、爆破防护绕过、验证码逻辑缺陷、SQL注入、登录后跳转漏洞等 checklist。看到一个文件上传点，立刻想到：前端绕过、MIME类型检测绕过、内容检测绕过、解析漏洞（如.jpg被当作.php执行）、压缩包解压路径穿越等。

4. 漏洞挖掘实战：高价值漏洞模式详解

有了清晰的目标和攻击面地图，我们就可以进入核心的漏洞挖掘环节。下面结合几种高价值漏洞类型，拆解“一眼”背后的具体看点和测试方法。

4.1 逻辑漏洞：业务流中的“黄金矿”

逻辑漏洞往往不依赖复杂的技术突破，而是利用业务设计缺陷。其价值高，因为WAF和常规扫描器几乎无法发现。

1. 越权漏洞（垂直/水平）：

• 垂直越权：普通用户能访问管理员功能。测试方法：登录低权限账号A，抓取访问管理员功能（如/admin/user/list）的请求，尝试用A的会话去直接访问。或者，在请求参数中寻找标识用户角色的字段（如role=admin,isAdmin=true），尝试修改。
• 水平越权：用户A能操作用户B的数据。最常见于通过可预测的ID（如递增的数字ID、用户名）来访问资源。测试方法：登录账号A，访问/api/order?id=1001（自己的订单），将id改为1002，看是否能访问到B的订单信息。
• 实战心得：多关注“对象ID”。不仅是数字ID，还包括订单号、手机号、邮箱等。尝试遍历、替换、解密（如果看起来是加密的，尝试Base64解码等简单操作）。一个关键技巧是：在操作完成后，观察返回的数据包。有时前端会隐藏管理链接，但API接口返回的数据中可能包含所有用户列表或高级功能标识，前端只是根据你的角色选择性地渲染。

2. 业务逻辑绕过：

• 支付漏洞：这是“千元”甚至“万元”级别的重灾区。重点关注：金额参数篡改（将amount=100改为amount=0.01）、负数金额导致余额增加、重复提交订单但只扣款一次、优惠券无限领取/叠加逻辑错误。
• 验证码绕过：验证码在服务器端校验，但返回给前端的成功状态码（如code: 200）被前端直接当作验证通过的依据。你可以拦截响应，在验证码错误时，将返回的code从400改为200，看是否能进入下一步。
• 密码重置漏洞：四大常见缺陷：1）重置令牌直接暴露在URL中且可预测；2）验证手机/邮箱的步骤可跳过；3）重置后的新密码会明文返回或在响应中提示；4）修改密码接口不验证旧密码，仅凭登录态即可修改他人密码。

4.2 注入类漏洞：经久不衰的“提款机”

尽管防护手段日益完善，但注入漏洞在复杂的业务系统和老旧模块中依然常见。

1. SQL注入的现代变种：

• 时间盲注依然有效：在参数后添加' AND SLEEP(5)--，观察响应是否延迟。适用于错误信息被屏蔽的场景。
• 关注JSON格式注入：越来越多的API使用JSON传参。测试时，尝试在JSON值中插入注入载荷，如{"id":"1' AND '1'='1"}。需要将单引号进行转义或使用双引号包裹。
• 实战技巧：使用sqlmap时，--level和--risk参数调高，并尝试--tamper脚本绕过WAF。但更高级的做法是，通过信息收集判断后端数据库类型（如错误信息、端口服务），然后手工构造针对性的Payload，成功率更高，也更隐蔽。

2. 命令注入与SSRF：

• 命令注入：常见于网络设备管理界面、服务器监控功能、文件处理功能（如解压、图片转换）。参数点包括：ip,host,domain,filename。尝试注入; whoami,| id,$(id)等。
• SSRF（服务器端请求伪造）：黄金漏洞。常见于“网页翻译”、“PDF生成”、“头像上传（支持URL）”、“内网资源访问代理”等功能。测试时，将参数值改为http://169.254.169.254/latest/meta-data/（AWS元数据）或http://127.0.0.1:8080/admin，探测内网服务。利用DNSlog平台（如ceye.io）来检测无回显的SSRF。

4.3 文件上传与目录穿越

文件上传是获取服务器权限的捷径，但防护也最严。

1. 绕过前端校验：直接抓包修改文件扩展名和Content-Type。2. 绕过黑名单：尝试特殊扩展名如.phtml,.phps,.jspx,.jspf。或者利用操作系统特性，如Windows下test.asp.或test.asp空格。3. 绕过内容检测：在图片文件开头添加GIF文件头GIF89a;，后面再拼接PHP代码。或者利用图片马配合文件包含漏洞。4. 解析漏洞：这是最“香”的。比如IIS的*.asp;.jpg解析漏洞，Nginx的test.jpg/.php解析漏洞（配置不当导致）。需要结合服务器指纹信息针对性测试。5. 目录穿越上传：在上传的文件名中注入路径遍历序列，如../../../var/www/html/shell.php，尝试将文件上传到Web目录。

提示：文件上传测试务必谨慎，最好使用无害的测试文件（如只包含<?php phpinfo();?>的文本，并另存为.php），且测试后立即删除。避免上传功能完整的木马，这很可能违反SRC规则。

4.4 前端安全漏洞：XSS与CSRF

虽然单点反射型XSS奖励可能不高，但存储型XSS、结合业务逻辑的XSS（如盗取修改密码的Token）、以及影响广泛的CSRF，价值依然可观。

1. XSS挖掘：

• 寻找富文本编辑器：论坛评论、文章发布、客服聊天框，这些地方是存储型XSS的高发区。测试时不要只用<script>alert(1)</script>，尝试更隐蔽的Payload，如<img src=x onerror=alert(1)>，或利用SVG、MathML等标签。
• DOM型XSS：关注从URL参数（location.hash,document.URL）或本地存储（localStorage）中取数据，并动态写入页面的JavaScript代码。这需要仔细审计前端JS。
• 盲打XSS：对于无回显的场景，使用XSS平台或Burp Collaborator来接收外带的数据，证明漏洞存在。

2. CSRF挖掘：

• 关键操作检查：凡是修改数据、状态、资金的操作，如修改资料、添加收货地址、转账、发表评论，都要检查是否存在CSRF防护（通常是Token或验证请求来源的Referer）。
• 测试方法：抓取一个正常请求，去掉Token或Referer字段，重放一次看是否成功。或者，自己构造一个简单的HTML表单，在另一个浏览器标签页中打开并提交，看操作是否生效。
• 实战价值：一个能导致任意用户密码被修改的CSRF，其危害等级等同于一个高危漏洞。

5. 漏洞验证与报告撰写：从“发现”到“收获”

挖到漏洞只是成功了一半，清晰、专业地验证和报告，才能确保漏洞被认可并获得奖励。

5.1 严谨的漏洞验证流程

1. 证明危害：不要只说“这里可能存在SQL注入”。你需要提供完整的Payload，并展示注入的结果。例如，通过union select爆出数据库版本、当前用户，或者通过时间盲注证明存在延迟。对于逻辑漏洞，需要截图展示用户A成功操作了用户B的数据，或者支付0.01元购买了大额商品。
2. 控制影响：验证过程中，使用自己的测试账号，避免影响真实用户数据。如果漏洞会修改数据，操作后应尽量恢复原状。
3. 定位根源：尽可能判断漏洞产生的原因。是参数未过滤？是权限校验缺失？还是业务逻辑顺序错误？这能体现你的专业深度，也有助于厂商快速修复。
4. 录制视频：对于复杂的交互流程漏洞（如多步骤的逻辑绕过），光靠截图可能说不清楚。使用ScreenToGif或OBS录制一个简短的视频（不超过1分钟），展示从开始到漏洞触发的完整过程，这是最有力的证据。

5.2 高质量漏洞报告撰写指南

一份优秀的漏洞报告，应该让审核人员一目了然，快速理解问题所在。

报告结构：

1. 漏洞标题：精炼概括，如“[目标域名] 后台订单查询接口存在水平越权，可查看任意用户订单信息”。
2. 漏洞等级：参考该SRC的定级标准自评（高危、中危、低危）。不确定时宁可就低。
3. 漏洞类型：如SQL注入、越权访问、CSRF等。
4. 影响资产：提供完整的URL。
5. 漏洞描述：
   • 重现步骤：分步骤、编号，像说明书一样详细。例如：“1. 使用账号A（test1@example.com）登录。2. 进入‘我的订单’页面，URL为https://target.com/api/order/list?userId=1001。3. 将参数userId修改为1002。4. 成功看到账号B（test2@example.com）的订单列表。”
   • 请求与响应：附上关键的HTTP请求和响应数据包（可使用Burp Suite的Copy as curl command或Copy as HTTP request格式），敏感信息（如真实Token、Cookie）记得打码。
   • 漏洞证明：贴上截图或视频链接。截图应包含浏览器地址栏（显示URL）和关键的漏洞触发结果。
6. 修复建议：提供建设性的修复方案。例如：“在服务端对userId参数进行严格校验，确保当前登录用户只能访问与其自身绑定的数据。” 这表明你不仅会挖洞，还懂修复。
7. 其他信息：测试使用的浏览器、工具版本等。

避坑指南：

• 避免模糊表述：不要说“我感觉这里有问题”，要给出确凿的证据。
• 一洞一报：一个报告只描述一个独立的漏洞点。不要把多个不同位置的相同类型漏洞混在一起报，也不要将一个漏洞的多种利用方式拆成多个报告。
• 遵守格式：严格按照目标SRC的提交表单要求填写。
• 耐心沟通：报告提交后，可能会有审核人员与你沟通，要求补充信息或澄清细节。保持礼貌、专业的沟通态度，有助于漏洞被顺利确认。

6. 进阶技巧与持续成长之路

“一眼千元”的境界不是一蹴而就的，它建立在持续学习、经验积累和思维升级之上。

6.1 工具链的自动化与集成

高手和普通人的区别，在于是否善于让工具为自己工作。建议搭建一个简单的自动化工作流：

1. 资产监控：编写脚本，定期（如每天）抓取关注SRC的新增资产公告，自动加入扫描列表。
2. 信息收集流水线：使用bash或Python脚本，将subfinder->httpx->waybackurls->nuclei（用于快速扫描已知漏洞）串联起来，实现对新目标的快速初筛。
3. 漏洞触发验证：对于某些常见漏洞（如简单的目录遍历、默认口令），可以编写简单的验证脚本，对批量目标进行快速检查。

推荐使用Notion或Obsidian建立个人知识库，记录每个目标的资产信息、测试过的点、发现的漏洞、以及独特的绕过技巧。日积月累，这就是你最强的“内功”。

6.2 思维模式的转变：从黑客到工程师

初期，我们可能更关注如何利用一个具体的漏洞点。但要想持续产出高价值漏洞，需要提升思维层次：

• 架构视角：尝试理解整个应用的架构。它是微服务吗？API网关在哪里？服务之间如何认证？理解了数据流，你就能发现更多横向移动的可能性。
• 开发视角：去学习你常挖到的漏洞对应的开发框架。了解Spring Security的机制，你就能更好地发现权限绕过的姿势；了解JWT的原理，你才能测试其签名是否可被破解或伪造。
• 攻击链思维：不满足于单个漏洞。思考如何将一个小信息泄露（如JS源码泄露API密钥）与一个SSRF结合，攻击内网服务；如何将一个反射型XSS与钓鱼结合，窃取管理员Cookie。虽然SRC通常按单个漏洞评级，但展示出组合利用的潜力，能极大提升漏洞的严重性评估。

6.3 心态管理与法律红线

最后，也是最重要的一点，是保持正确的心态和绝对的法律意识。

• 保持耐心：挖洞是一个概率游戏。可能连续几天一无所获，但下一个目标就可能连续出洞。不要气馁，把每一次测试都当作学习的机会。
• 尊重规则：再次强调，只在授权范围内测试。不进行破坏性测试，不窃取、泄露任何数据。
• 享受过程：把漏洞挖掘看作是一场智力解谜游戏。享受发现漏洞时的成就感，享受技术钻研带来的乐趣，而不仅仅是盯着奖金。这种心态能让你走得更远。

“一眼千元”的本质，是千锤百炼后的经验直觉，是系统化方法指导下的高效作业，更是对安全持续热爱和钻研的副产品。希望这篇长文能为你打开一扇门，带你走进SRC漏洞挖掘这个充满挑战与乐趣的世界。记住，最宝贵的不是某个具体的漏洞，而是在这个过程中锻炼出的那双能发现风险的“眼睛”，和那颗始终保持好奇与严谨的“匠心”。