刚开始挖 SRC 漏洞的时候很多人以为这是个大牛才能干的事觉得没有几年渗透功底连门都摸不到。后来我带过几个零基础的朋友入行看着他们从连 HTTP 抓包都看不懂到陆续提交出有效漏洞、拿到第一笔赏金我才真正意识到SRC 漏洞挖掘入门这件事缺的从来不是天赋而是正确的套路和愿意沉下心踩坑的态度。这篇文章就围绕“SRC 漏洞挖掘”这件事把从零基础到能稳定赚赏金的全过程拆开讲透。不管你是刚接触网络安全的学生、想转行的开发还是已经会点工具但一直拿不到结果的“半吊子”只要按着这条路径走都能少走很多弯路。我会把目标选择、信息收集、漏洞类型分析、实际利用手法、报告提交这些环节全部过一遍也会把那些平时没人告诉你、只有自己踩过坑才知道的细节一并说出来。1. 先搞懂 SRC 到底是什么以及赏金从哪里来1.1 你不是在“攻击”你是在帮企业找漏洞SRC 全称叫 Security Response Center也就是安全应急响应中心。很多大公司都有自己的 SRC 平台比如腾讯 SRC、阿里云先知、补天、漏洞盒子、教育行业 SRC 等。企业把自家业务系统、App、小程序、API 接口对外开放邀请白帽黑客也就是你来找漏洞你提交一个真实可利用的漏洞平台审核确认后企业根据漏洞危害等级给你发奖金这就是赏金的来源。这里必须把心态摆正SRC 挖掘不是恶意攻击是经过授权的安全测试。企业欢迎你来找问题是因为自己人测不完所有逻辑借外部白帽的力量快速暴露风险花的钱比被真正黑掉之后赔的钱少得多。这就好比你家装了个门锁你花钱请开锁师傅来试试能不能撬开师傅撬开了告诉他加固方法你付劳务费双赢。1.2 赏金高低的背后逻辑是影响范围很多人刚入行就盯着“高危漏洞”、“严重漏洞”这些字眼觉得只有拿到高危才能真正赚到钱。真实的奖金规则不是这样算的。以主流 SRC 平台为例通常按漏洞危害和影响范围分四档等级典型漏洞类型赏金参考区间严重Getshell、核心数据库泄露、批量越权获取大量用户数据数千到数万不等高危敏感信息泄露源码、密钥、SQL 注入、大面积 XSS千元级别为主中危一定范围内的越权、SSRF、逻辑缺陷数百元级别低危少量信息泄露、UXSS 残留、配置问题几十到几百元关键结论是影响范围决定金额。一个打入核心系统的 SQL 注入比十个边缘页面的 XSS 值钱得多。但零基础选手前期最容易挖到的恰恰是低危漏洞这也完全可以先把流程跑通拿到第一笔赏金建立信心再逐步往高危方向冲。2. 零基础挖洞前需要补的三块地基2.1 Web 基础不需要成为开发但得看得懂代码很多人听到“挖洞要懂代码”就退缩了其实做 SRC 和做开发的要求完全不一样。你不需要能手写一个高性能后端服务但你需要看得懂接口逻辑、参数传递、权限校验。最低限度的要求有这几个能看懂 URL 结构知道 query、path、header、body 各是什么能理解 Cookie、Session、Token 的作用明白什么是身份认证能读懂简单的 PHP、Java、Python 代码片段至少知道后端大概在做什么了解 HTTP 状态码含义知道 302 跳转、403 拒绝、500 报错分别说明什么这些不需要系统刷完一门课程一边挖洞一边遇到不会的概念再去查效率最高。碰到接口返回的 JSON 就看键值对碰到登录逻辑就抓包看参数实战中积累起来的知识比死读书牢靠得多。2.2 工具链准备Burp Suite 是你最核心的武器工具不需要贪多但每一件都要精。我见过很多新手电脑里装了二十多个工具真正会用的没几个这是最大的误区。零基础起步有三类工具足够打到中高阶水平抓包代理Burp Suite这个必须熟练拦截请求、改包重放、看响应全部靠它目录扫描dirsearch 或 ffuf用来发现没被收录的接口和后缀路径浏览器开发者工具F12 一定要熟Network 面板里看请求参数和返回值Sources 面板偶尔能直接看到泄露的 JS 文件中的接口地址Burp Suite 值得单独下功夫。从配置代理、安装证书、拦截 HTTP 流量开始到学会用 Repeater 改包重放、Intruder 做简单参数爆破这三步走完就已经超过了大部分只会用扫描器的人。2.3 靶场练兵没练好别直接上真实目标直接拿真实 SRC 目标练手是很多新手的通病结果往往是漏洞没找到账号被封禁提示恶意测试甚至被溯源追责。正规流程是先练靶场把常见漏洞的触发原理和利用手法练成肌肉记忆再上真实目标。适合零基础的靶场有 DVWA练习 SQL 注入和 XSS 的经典环境、Pikachu中文靶场漏洞类型覆盖广、以及各类在线 CTF 靶场。练兵阶段的目标不是刷完多少关而是做到——看到一个参数脑袋里能自动跳出“这里可能有注入、那里可能有越权”的条件反射这一步到了才算具备真实挖洞的底层感觉。3. 核心漏洞类型拆解从原理到实战利用3.1 OWASP Top 10 是地图不是教科书很多人一说漏洞类型就搬出 OWASP Top 10 列表背概念这样做没问题但如果只停在概念层面碰到真实业务还是一脸懵。我建议把 Top 10 当成一张“狩猎地图”知道哪些区域猎物多就行不需要每个角落都深挖到底。在真实的 SRC 平台上出洞率最高的漏洞类型其实就集中在少数几类越权水平越权/垂直越权、SQL 注入、XSS、SSRF、逻辑漏洞、信息泄露。这六类加起来占了绝大多数有效漏洞提交把它们吃透比背完 Top 10 所有条目都管用。3.2 越权漏洞SRC 平台最容易量产赏金的品类越权漏洞的原理一句话讲就是服务器只检查了“你登录了没”却没检查“你有没有权限干这事”。最常见的场景是水平越权比如用户 A 登录后把订单详情接口里的订单 ID 从自己的 10001 改成别人的 10002结果直接看到了别人的收货地址和手机号。整个测试过程非常清晰。先用两个普通账号登录系统抓取正常请求报文然后替换 URL 参数里代表资源的编号——订单号、用户 id、文章 id、文件名挨个试。如果返回了不属于当前账号的数据就是越权。这类漏洞在电商、政务、教育系统里极其常见而且危害等级高、审核通过率高、赏金稳定可以说是零基础进 SRC 的突破口。垂直越权更要试。普通用户登录后看能不能请求到管理员接口。方法很简单抓一个管理员操作的数据包比如后台列表接口用普通用户的 Cookie 去重放如果返回了管理数据这个漏洞就是高危起步。3.3 SQL 注入核心原理要懂但不用拿键盘硬刚SQL 注入的本质是后端把用户输入的数据直接拼进了数据库查询语句而没有做过滤或参数化处理。攻击者闭合掉原有的查询语句再拼接自己的恶意 SQL就能拖出库里的数据。零基础要学会的是“检测—确认—利用”三条路径。检测阶段最经典的还是在参数后面加单引号看页面有没有报错、有没有行为异常或者加and 11和and 12对比响应差异。确认存在注入后再利用阶段建议直接用 sqlmap 工具自动化跑数据和库名。这里必须提醒sqlmap 要开--batch --random-agent之类的防封参数同时带上--threads不能太高否则会直接触发目标风控把 IP 封掉。手动测试注入点是基本功工具只是批量确认的手段顺序不能反。3.4 XSS低危里最能锻炼观察力的漏洞XSS 的原理是用户输入的脚本代码被浏览器当成了可执行代码运行。反射型 XSS 一般出现在搜索框、URL 参数回显处存储型 XSS 则是把恶意脚本保存到了服务器其他用户一访问就触发危害更高。测 XSS 最需要的是观察力。输入一个特殊字符串比如img srcx onerroralert(1)然后在响应里找这个输入原样出现在哪个位置是在 HTML 标签内、属性里还是 JS 代码里。位置不同构造的 payload 完全不同——在标签内直接闭合在属性里要逃逸引号在 JS 中可能要构造完整语句。SRC 平台现在对纯弹窗型 XSS 的收录越来越谨慎除非是存储型且影响后台管理员否则很难拿到高赏金。但 XSS 依然是练手的好项目它能让你建立对输入输出、编码转换、上下文关系的敏感度这种敏感度是全类型漏洞挖洞的核心素质。3.5 SSRF一个请求就能打到内网服务端请求伪造SSRF在高危漏洞里属于常客。它出现在后端会接收一个 URL 参数并主动请求该地址的场景典型功能有图片转存、外链预览、URL 检测、Webhook 回调都值得重点关注。测试方法不难但需要细心。找到一个接收 URL 参数的接口替换成内网地址比如http://127.0.0.1:8080、http://192.168.1.1:3306观察响应时间、报错内容或是否会返回内网服务特征。能访问内网端口就可以继续探测内网资产打到云元数据服务如http://100.100.100.200等云环境内网地址则可以直接尝试拿临时密钥。3.6 逻辑漏洞脑洞和经验是永恒的护城河逻辑漏洞不属于 OWASP 分类但真实 SRC 赏金的高地就在这里。它考验的不是技术深度而是对业务流利的理解。典型的逻辑漏洞包括越权改订单状态把已取消的订单改成已支付然后尝试原路退款并发漏洞同一时间发送多个转账请求导致余额被重复扣减或优惠券被重复领取验证码绕过比如修改手机号参数就能绕过短信限制或者验证码接口没做次数限制可以爆破支付金额篡改下单时把商品价格参数从 100 改成 0.01看后端是否做二次校验这类漏洞的核心测试思路是把正常业务流程走一遍后问自己“如果我在这一步把参数改了会怎样”、“如果我把这个步骤多执行几遍会怎样”大多数开发只实现了正常逻辑根本没想过反向路径这就是你的机会。4. 拿赏金的实战全流程从选目标到交报告4.1 目标选择的门道选对厂商事半功倍SRC 平台上企业众多不同类型的厂商对漏洞的响应速度和奖励力度差异非常大。新手选目标只认准三条原则选教育、政务、医疗等 SRC这些系统业务逻辑相对简单、开发质量参差不齐、漏洞密度高容易出洞选有新人奖励或积分翻倍活动期的厂商同等水平下拿到更多收益选资产面大的厂商域名和子站数量多意味着机会也多官网小门面的厂商资产少、防护强新手去了基本空手而归我见过不少新手一上来就挑战顶级互联网大厂的 SRC被 WAF 拦到怀疑人生连续几周颗粒无收。这不是能力问题是目标选择策略问题先打防守薄弱的靶子积累经验和信用分再逐步往上走才合理。4.2 信息收集决定上限站点的边边角角都要翻出来挖洞之前的信息收集工作决定了你能看到多少攻击面。只测一个域名首页撑死了也就试试注入和 XSS但如果把这个域名关联的所有子域名、IP、端口、API 接口全部梳理出来攻击面就扩大了几十甚至几百倍。信息收集的基本流程是先从根域名开始用子域名收集工具如 subfinder、oneforall找出所有二级域名再用在线测绘平台如 FOFA、Quake搜索关联的 IP 和端口服务最后对每个 web 服务做目录扫描找出后台路径、测试环境、旧版本系统。这里有个被很多人忽略的细节测试环境下最容易出漏洞。很多企业的测试系统没有部署完整 WAF代码也是开发本地未校验的版本防护极弱。一旦发现标题带test、beta、demo的子域名优先打出洞概率高出正常系统好几倍。4.3 明确授权边界哪些能测哪些绝对不能碰拿到目标后第一件事不是扫描而是阅读该 SRC 平台的测试范围声明。每个 SRC 都会明确列出允许测试的域名列表、禁止测试的系统比如某些内部管理系统、第三方接口、禁止使用的测试方式比如禁止 DoS 攻击、禁止大量爆破、禁止拖取数据。违反边界测试的最大风险不是没奖金而是被判定为恶意攻击。扣除信用分是轻的严重情况下平台会配合警方溯源把测试行为定性为非法侵入。这个代价完全付不起。所以我给自己定了一条铁律所有漏洞测试只在授信范围内进行遇到不确定的目标系统先查声明不在范围内的绝对不碰。4.4 报告撰写写得好漏洞价值直接翻倍同样的漏洞质量报告写得好不好拿到的赏金可能差了好几倍。平台的审核人员看得快如果你的报告逻辑清晰、证据充分他们能快速确定危害等级流程走得顺畅如果报告写得语焉不详截图模糊很可能直接被忽略或降级。一份合格的漏洞报告必须有这五个部分漏洞标题、漏洞地址和页面、复现步骤、漏洞原理分析、危害证明与修复建议。复现步骤要写成别人拿着就能一步步操作出来的程度从访问哪个 URL、输入什么内容、抓包改了哪个参数到得到了什么响应结果每一步都要写清楚。危害证明要突出影响范围——“证明能查看所有用户的订单信息”比“证明接口存在越权”有力度得多。这里有个经验之谈报告里的每一步操作都必须配上截图包括请求包、响应包、触发前后的页面状态。截图比文字描述可靠十倍审核员看到关键证据图连测试真实性都不用怀疑。4.5 常见被驳回原因与处理技巧被驳回是每个挖洞人的日常新手尤其要避免那种“花半天测了漏洞结果被秒拒”的挫败感。我整理过几种最常见的驳回情况驳回原因实际情况解决思路重复漏洞别人抢先提交了相同问题提高测试速度或找差异化漏洞点风险等级不符你提交的漏洞可以利用条件太苛刻换一个更容易触发的场景去验证无法复现报告步骤不完整或依赖特殊环境补充每一步截图和完整复现过程属于不可利用问题比如纯功能报错、无安全影响的响应头缺失明确安全影响后再提别报无效洞目标范围外域名不受保护提交前再一次确认目标范围解决被驳回的思路很简单——不要闷头重测同一个点先研究平台审核逻辑看别人通过的报告是怎么写的对比自己被驳回的原因针对性调整目标和方法效率会高很多。5. 新手最容易犯的隐形错误这些坑我替你踩过了5.1 扫描器不是“跑一下就出结果”的赚钱神器把整个目标用扫描器跑一遍然后等报告这是很多新手的幻想。真实的自动化扫描结果是绝大多数都是误报需要手工验证和过滤。而且扫描行为本身很容易触发 WAF一旦被风控封了 IP后续所有手工测试都会变得异常困难。我的做法是自动化扫描只用来做初步摸排凡是扫描器报出来的可疑点全部到浏览器里手动复测一遍。手动验证的过程不仅为了确认漏洞真假更是为了挖掘扫描器注意不到的变体和连锁利用路径。自动化负责效率手动负责深度两条腿走路才走得远。5.2 拿高权限账号测试是大忌有些人注册了会员账号或者不知道从哪里弄来一个测试高权账号就直接拿高权限账号测漏洞这是观念上最大的错误。漏洞危害等级是按攻击者权限来定的——普通用户能造成的破坏和有管理权限的人能造成的破坏安全意义完全不同。所以标准做法永远是始终使用最低权限账号。普通用户能越权访问管理员数据这才叫真实漏洞管理员自己访问自己的数据那种漏洞提交上去也没有意义。测试的时候要养成习惯用普通账号尝试做超出权限的操作这类漏洞才是真正能在 SRC 平台站住脚的。5.3 忽略数据包里的隐藏参数很多新手只在页面上做测试那些隐藏的接口和参数全靠抓包才能发现。比如有些接口虽然页面不显示但数据包里带着admintrue、roleuser这样的参数手动改成roleadmin重放如果后端没有二次校验就直接拿到管理员权限了。这种漏洞测试成本极低、收益极高唯一的要求就是细心。养成每抓到一个请求就看一遍所有参数的坏习惯——不对是好习惯。关注每一个参数的语义、猜测它对后端逻辑产生什么影响时间久了你对参数改动带来的连锁反应会越来越敏感。6. 挖洞效率提升与长期成长路线6.1 漏洞知识库把每次成功和失败都沉淀下来很多人挖了几个月洞技术上还是原地踏步核心问题在于没有建立自己的知识沉淀系统。每次成功提交漏洞哪怕只是个低危也把完整的测试过程、触发条件、payload 构造思路记录到一个私人文档里每次被驳回也一样要记录驳回原因和后续验证结果。一段时间后回头看这些零散记录会形成你自己的漏洞挖掘方法论。你会发现哪些漏洞类型在哪些业务上出洞率最高哪些参数是最容易出问题的高频点。这些经验比任何培训班讲的都值钱因为它是从你亲手提交的一个个漏洞里长出来的。6.2 保持源源不断的漏洞情报输入SRC 圈子变化很快今天流行的漏洞利用思路过半年可能就失效了。保持学习输入是硬要求。日常可以看一些公开漏洞库站点的最新提交案例学习别人在真实目标上用了什么新思路也可以关注一些头部白帽作者分享的实战复盘文章看他们如何从拿到目标到最终提交报告。但注意筛选信息源。现在网上大量“SRC 速成班”内容要么是旧技术冷饭要么是教人走灰色路径不仅没有价值还有风险。只看那种完整体现授权测试流程、有明确漏洞分析和修复方案的实战内容才是有效的学习素材。6.3 从低危到高危靠的是资产关联与挑刺思维低危漏洞挖多了很多人会进入瓶颈期提交了不少但金额一直上不去。突破瓶颈的关键在于两点。第一提升攻击面的关联能力——不再孤立地看单个系统是否存在注入、是否有 XSS而是看多个系统、多个接口之间能不能串联起来比如从一个信息泄露拿到内部凭据再用该凭据访问到更核心的系统。第二强化“挑刺”思维方式——用挑剔的眼光审视业务页面上的每一个输入框、每一个上传点、每一个导出按钮、每一个切换身份的入口把异常行为当成可测目标。这个阶段没有捷径就是大量实战加深度思考。挖洞这件事勤奋程度决定了下限思维方式决定了上限而 SRC 赏金就是对你综合能力的直接反馈。写在最后的实在话做 SRC 这么久我最深的一点体会是漏洞挖掘本质上是一个“在约束里发现失控”的游戏。企业画出安全边界开发写出代码逻辑而你要找到那个边界没想到、代码没校验的角落。这种成就感比赏金本身更让人上瘾赏金反而是顺带的结果。如果让我给零基础朋友一个最终建议我会说不要急着追求高危漏洞也不要幻想着第一个月就拿几万块。老老实实把靶场练熟从越权这种最基础的逻辑开始测把每一份报告写完整跑通整个“发现-验证-提交-审核”的闭环然后持续迭代自己的方法论。这条路前期辛苦且枯燥但只要坚持住赏金和成长真的会像滚雪球一样慢慢变大。