我见过太多新手注册了SRC平台的账号下载了一堆工具信心满满准备大干一场结果对着一个目标网站愣了半天不知道从哪儿下手。这种感觉我太熟了当年我也是教程看了一堆工具装了一排真到了实战环节大脑一片空白。其实SRC挖洞这件事最关键的从来不是工具多不多、技术多高深而是准备工作做没做到位。这里说的准备不只是装个软件那么简单而是认知、知识、环境、合规意识、操作流程的全面梳理。这一期我就以“零门槛上手”为目标把SRC挖洞前需要做的所有准备一条条掰开揉碎了讲清楚。不管你是刚接触安全的大学生还是想转行做安全的开发者这篇文章都能帮你把起点铺平。1. 先把SRC这事想清楚它到底是不是“黑客技术”1.1 SRC是什么厂商为什么愿意花钱买漏洞SRC是Security Response Center的缩写翻译过来就是“安全应急响应中心”。你可以把它理解成厂商自己搭了一个院子门口挂了个牌子上面写着“欢迎来帮我找找哪儿漏雨”。找漏雨的人经过提前登记、确认身份、拿到许可后才能进院子溜达发现漏洞后写个报告交给主人主人根据问题严重程度发奖金。所以SRC挖洞的本质不是“攻击”而是“授权的安全测试”。它是一份有边界、有规则、有回报的技术劳动。厂商之所以愿意干这事是因为任何一个对外业务系统都难免有考虑不到的地方与其等有心人利用不如主动开放给白帽子们测用奖金换一次提前发现问题的机会。这个逻辑放到今天已经是非常成熟的安全行业生态了。新手容易把SRC和“渗透测试”划等号其实有区别。渗透测试是甲方出钱、你出力目标范围写得清清楚楚合同签完才能动手。SRC更像常驻式的漏洞收集渠道你随时可以来测测到什么算什么按结果付费。但有一点相同授权是底线SRC平台页面里写的测试范围就是你的全部战场。1.2 新手挖洞的真实回报钱和成长哪个更重要说点实在的。SRC的奖励机制通常是按漏洞等级来算的严重、高、中、低四个档位不同平台、不同厂商给的钱不一样。严重漏洞有些平台能给出上万甚至更高的奖励低危的可能就是几十块钱或者几个积分。积分攒多了可以换礼品、换排名排名靠前在简历里也是加分项。但我要泼一盆冷水靠SRC挖洞发家致富对绝大多数人来说不现实。一个新手前几个月颗粒无收或者只捡到几个低危漏洞都是非常正常的节奏。这个行业的真相是头部玩家能吃到大肉新入场的先把汤喝上就已经不错了。那为什么还值得做因为SRC是练习安全技能最真实的场景。你自己搭靶场练永远练不出那种面对真实业务逻辑时的紧张感。你在SRC里学到的信息收集思路、漏洞判断标准、报告书写能力包括对HTTP协议的敏感度这些是以后做安全工作或者接项目实打实的基础。当成一场带奖金的实战训练营来看心态就稳了。2. 零基础到能挖洞真正绕不开的几块知识2.1 网络和协议基础不用背教科书但要懂数据怎么走很多新手一听要学网络基础就跑去啃厚厚的协议教材然后被劝退了。其实SRC挖洞初期你不需要把OSI七层模型背得滚瓜烂熟也不需要手算子网掩码但有几个核心概念必须清楚第一数据包是怎么走的。你在浏览器里输入一个网址到看到页面内容中间经过了域名解析、TCP连接、HTTP请求、服务器响应、浏览器渲染这么一串过程。挖洞时你改的每一个参数、看的每一段响应都是在跟这个过程打交道。第二HTTP协议的基础。请求方法、状态码、Header、Cookie、Session这些是日常打交道最多的元素。我见过一些新人拿到抓包工具后对着Request里的内容一头雾水——他不知道哪个是参数、哪个是固定的。这时候翻翻基础的HTTP教程边看边对照抓包工具里的真实报文比纯看书理解得快十倍。第三前后端的边界。哪些逻辑是前端处理的哪些是后端校验的这是一个分水岭。很多新手漏洞挖不出来就是因为把目标站点的功能当成了一个黑盒完全不知道请求到了服务器之后发生了什么。不用精通开发但你要能看懂HTML结构、能大概明白接口的传参逻辑这样后续测逻辑漏洞才有方向。2.2 Web常识请求、响应、Cookie、Session怎么串起来我用大白话讲一遍。浏览器向服务器发出请求时会带上请求方法比如GET、POST、URL、请求头Header和消息体Body通常是表单数据或JSON。服务器处理完返回一个响应里面包含状态码、响应头、响应体大部分情况是HTML页面或JSON数据。Cookie和Session是用来维持状态的。HTTP是无状态的服务器记不住你上一次干了什么所以当你登录了系统服务器会在响应里塞一个Cookie给你你下次请求时带着它服务器凭借这个Cookie认出你是谁。Session是服务器端对应这个Cookie存的那份会话数据。两者是搭配着用的。挖洞时你经常要做的操作就是登录一个账号抓包看看Cookie里有什么或者退出账号后拿普通用户的Cookie去请求管理员接口看看能不能访问。这些操作的前提是你理解了“登录状态是怎么维持的”这层机制。所以不用急着学高大上的东西先把这部分吃透后面路就好走了。2.3 漏洞原理学多少够用先认识脸再学解剖新手经常犯的一个错是试图把每个漏洞类型都研究到极致再动手。没必要。你需要的是一张“漏洞脸谱”每种漏洞大概长什么样、在哪个环节出现、有什么典型特征。等你在实战中碰到了、确认了再回头深挖原理效果反而更好。常见的几类先混个脸熟越权类漏洞比如改了URL里的ID就看到了别人的订单信息。这类在新手里最容易上手也最常见。信息泄露类比如某些接口返回了不该返回的敏感字段、备份文件被下载、错误信息暴露了路径。验证码与业务流程类比如验证码不失效、步骤可以乱序、优惠券可以重复使用。注入类这个原理上稍复杂新手可以先理解“用户输入被当成了代码执行”这个概念具体利用先放一放。XSS类核心是“输入的字符串被浏览器当成了脚本执行”新手可以先做到能辨认、能描述危害。总之先建立“这个功能可能有问题”的直觉比背一百个CVE要实在。直觉怎么来就是多看别人写的漏洞报告多看案例拆解把一个一个有问题的点跟自己的知识框架对应起来。3. 准备工作区的搭建新手最容易忽略的细节3.1 一台电脑就够硬件和心理准备先说硬件。SRC挖洞基本不需要多顶级的电脑普通办公本8G以上内存能跑得动浏览器和抓包工具就完全够了。没必要为了挖洞专门配一台高配游戏本这投入完全不值得。比硬件更重要的是心理准备。这不是开玩笑我把“心理准备”列进来是因为我在这个行业见过太多人坚持不下去。他们的问题不是不会挖而是没想清楚一件事SRC是一件需要长期投入、反馈周期很长的事。你可能第一个月完全找不到有效漏洞也可能好不容易找到一个提交后被告知是重复的。这种挫败感是很真实的。但你要明白每个SRC老手都经历过这个阶段。把期望值调到“前三个月主要练流程、积累经验”后面你会有惊喜。用这种心态去做准备你至少能坚持到出成绩的那一天。反过来你要是抱着“搞一把就暴富”的心态我劝你趁早换赛道这行不适合你。3.2 必装工具清单能少装就少装别把电脑弄成全家桶新手最容易犯的另一个毛病是到处收集工具最后一桌面全是扫描器、字典生成器、各种脚本。我经历过这个阶段后来发现90%的工具都在吃灰。对于刚上手的你工具清单越精简越好第一件是抓包代理工具。这类工具的核心功能是把你浏览器发出的请求截获下来能看到细节、能改参数、能重放。业内用得比较多的是Burp Suite这类工具免费版就够用。常用功能就那几个拦截开关、历史记录、转发到Repeater改包重放、Intruder做简单的批量测试。别贪多把这几个功能练熟了你就是半个实战选手。第二件是浏览器。Chrome或Firefox都行重点是用好它的开发者工具F12打开Network面板看请求响应、Console看报错、Sources看前端代码、Application看Cookie和存储。平时浏览网页的时候养成随手开F12的习惯慢慢你就有“看网页自动看请求”的职业病了。第三件是基础的目录扫描工具。它的作用是对目标站点做路径探测看有没有隐藏的接口或后台文件。新手期可以先用一两个开源工具跑默认字典就行不用追求大而全。最后一件是终端工具Windows自带的PowerShell或者Linux的终端都能用。你迟早要跑一些命令行命令的比如nslookup看域名解析、curl测接口提前熟悉起来对后面有好处。3.3 本地靶场和虚拟机试错不会出事的练习场说句实在话拿真实SRC目标练手有些操作还是有风险的。一方面厂商可能对测试频率、测试方式有要求另一方面你自己的技术还没到位很多测试手法容易误伤业务系统。更稳妥的做法是先在本地搭一个靶场环境把基本功练熟了再上真实目标。靶场是什么就是一个故意做成有很多漏洞的网站程序你本地跑起来可以在里面放肆地测试。常见的开源靶场有很多比如一些故意留有SQL注入的测试应用、带各类漏洞的练习平台。你搜一下“本地漏洞靶场搭建”就能找到一堆现成的方案。虚拟机的作用也很明显——把你的操作环境跟主系统隔离开。比如有些下载的测试工具可能不干净或者测试目标有反制手段虚拟机里出了问题宿主机不受影响。下载安装一个主流的虚拟机软件装个Linux发行版再配合靶场环境这花不了多少时间但能给你一个安全练习的沙盒。我给新手的建议路线是先在本机装好靶场每天花一小时在里面反复测那几个经典漏洞直到你能不看教程、自己复现出漏洞来。这个过程相当于飞行员在上真机之前在模拟机里练操作基本功不扎实就上真实目标既伤害自己信心也污染SRC平台的报告质量。4. 合规红线先学会保护自己再谈挖洞4.1 授权范围怎么看SRC给的范围就是你的全部战场每家SRC平台都有自己的测试范围和规则通常在页面上有明确的列举。有些是所有子域名都在范围内有些只开放了部分业务系统有些域名虽然在厂商旗下但明确写着“不计入奖励”。这看起来是很死板的规定但它是保护你的第一道防线。超出授权范围的测试再小的动作都可能是违规的轻则封号重则有法律风险。我见过一些案例某人测A厂商的时候顺手把厂商旗下另一个不在范围内的域名也扫了一遍结果被安全团队警告甚至追究。你说他技术差吗不差是规矩没学好。正确做法是在开始测试之前像考试前看考场须知一样把授权范围、禁止事项、奖励标准从头到尾读一遍。看不懂的术语就去查。确认自己的操作都在范围内再动手。这一步是专业和非专业的分水岭。4.2 绝对不能做的事红线清单结合我自己踩过的坑和见过的翻车案例下面这些是绝对的禁忌写出来给新手当警示牌不要使用攻击性的批量扫描工具对整个目标大范围扫描。轻则触发对方安全防护机制重则影响业务。不要尝试拖取数据库内容。哪怕你发现了注入点测出存在注入后立刻停下报给厂商就够了。下载数据的行为性质完全不同。不要试图获取或查看真实用户的数据。即使因为越权漏洞看到了别人的订单也应该截图留证之后立刻退出不要翻看具体内容。不要尝试对目标进行拒绝服务攻击。这类行为会直接影响业务可用性属于严重违规。不要利用漏洞下载源码、数据库备份文件等资产。你可以确认文件存在、能下载但没必要真的拉下来。不要公开发布测试过程中的截图和数据要保护目标厂商的敏感信息。你可能觉得这些是常识但我见过太多新手因为“好奇”或者“想多验证一步”而越过红线。记住SRC的核心是“证明漏洞存在并有危害”不是“把业务系统打穿”。能力大不代表可以随便用规则在这里就是纪律。4.3 漏洞报告怎么写才显得专业提交时的格式和语气报告是你在SRC这个体系里的交付物也是别人评估你技术的直接依据。一份好的漏洞报告应该是标题简洁明了、概述清楚直白、复现步骤可操作、影响范围明确、修复建议合理。我常用的结构和大家分享一下这基本上是业内通用格式标题漏洞类型 受影响地址的关键部分。比如“某接口存在越权访问漏洞可查看任意用户订单信息”别写成“网站有漏洞”。漏洞概述用两三句话说明这个漏洞是什么、出现在哪个功能点。影响版本/URL定位清楚。复现步骤一步一步写清楚从登录、构造请求、到看到什么异常结果每一步都要能让审核人员照着做出来。这一步最关键写不清楚基本等于白测。危害说明这个漏洞如果被恶意利用会造成什么影响。修复建议给出你的建议哪怕只是方向性的也行这会显得你更专业。另外语气上保持客观描述别夸张。比如“造成严重危害”这种字眼要基于实际影响来判断而不是情绪化表达。我刚入行时写报告风格特别浮夸现在回头看特别尴尬。后来我学到的经验是报告写得越平实可信度越高。5. 新手第一次挖洞的完整路径参考5.1 从信息收集开始目标底细摸清再动手很多新手打开目标网站后第一反应是直接输入一个payload上去测试。这是效率最低的方式。专业选手的第一步永远是信息收集——把目标尽量看清楚。这里的信息收集包括目标的主域名下有哪些子域名、站点用的是什么中间件和版本、有没有什么目录和接口是泄露出来的、网站的登录功能、搜索功能、传参点都分布在哪里。这些信息不需要去搞多深的技术更多是“细心”。你可以手工点一点网站功能感受一下业务逻辑同时拿目录扫描工具跑一跑看看能不能发现一些没在导航里出现的路径。检查一下响应Header里的Server字段、框架特征推断一下技术栈。子域名层面有些厂商的SRC范围内包含大量子域名不同子域名的安全强度差别很大有些边缘系统防护很薄弱反而容易先出成果。在这个阶段我特别强调一个习惯即使你发现了一个可疑点也不要急着提交或验证先记录下来。收集到的信息越多你后面的判断就越准。别觉得这一步浪费时间我敢说一个完整的信息收集等于挖洞成功了一半。5.2 常见漏洞类型对新手友好度排序先易后难如果让我给新手排一个“友好度”顺序大概是这样的第一梯队越权类。它不需要复杂的注入技术通常只是改个参数、换个Cookie值、换个ID的问题。很多Web系统在功能上做了完整的前端控制但后端完全不校验这种漏洞一找一个准。第二梯队信息泄露类。比如未授权接口返回了大量内部数据、源码备份文件可下载、报错信息暴露了绝对路径、测试环境泄露到公网。这类漏洞其实到处都有只是需要细心加运气。第三梯队逻辑漏洞。比如验证码可以无限尝试、订单金额可以被篡改、优惠券可重复领取、重置密码流程存在绕过。这种需要对业务逻辑有理解新手多尝试会有意外发现。第四梯队XSS和注入类。原理上要理解得更深但发现它们有时是靠扫描器辅助的。新手可以先不用强求。我的建议是第一波尝试锁定在“越权”和“信息泄露”两类上。不是因为它们简单而是因为它们的测试方法相对固定对业务影响也容易说清楚非常适合培养手感。等你在这两类上有了稳定产出再去挑战难度高的类型会顺很多。5.3 挖不到洞的真相与被忽略的“小漏洞”新手最常问的问题是我真的认认真真测了为什么就是挖不到挖不到才是常态原因有很多而且大多数跟你能力关系不大有些SRC目标本身安全做得就挺到位核心业务系统研发团队天天被安全测试包围早把常见漏洞堵得差不多了。有些目标有商业级防护设备挡在前面你发的测试请求可能直接被拦截根本到不了应用层。还有些目标业务场景特殊你光看功能根本不清楚背后有哪些漏洞点。这时候再拼命挖只是自我消耗。换个角度看SRC的目标那么多这个攻不下来就换一个。换目标不是放弃是策略。另外我特别建议新手别只盯着“高危”看低危漏洞、信息泄露、人为因素构成的安全短板这些在该平台规则里只要是合规的都在奖励范围内。哪怕只提交了一个低危也是你从零到一的一次完整闭环。信心是靠小成绩堆出来的。6. 新手常见问题和踩坑实录6.1 扫描器扫半天没结果问题出在哪这是新手高频场景装了个目录扫描器字典全量模式跑了一下午报告里几百条结果但都是200状态码、完全没用的路径。这是为什么很大概率是因为你没理解扫描器的逻辑。目录扫描是去猜一个服务器上可能存在的路径它跑出来的结果需要人工二次确认不是返回200就一定能用。很多情况下返回200的是一个统一的404页面服务器配置问题或者是需要登录的跳转页面。你不能只看状态码还要看响应长度和内容特征。另外目标如果有防护机制你的猛烈扫描可能早就触发了拦截后面返回的全是清洗过的假页面。这时候扫描结果完全失真你再怎么看也白搭。我的经验是扫描器结果只做线索参考真正的确认来源于手工浏览。看到可疑路径打开浏览器直接访问一下再配合抓包工具观察请求和响应的细节是重定向、是报错、还是确实存在未授权访问一眼就看得出来。扫描器只是放大镜不是探测器这个认知一定要建立起来。6.2 报告提交后被忽略、被驳回可能是什么原因高高兴兴提交了一个漏洞等了几天收到“忽略”或“重复”的结论别提多打击了。被忽略的原因我复盘过很多次大致有这几类一是复现步骤不清晰。审核人员完全照着你的步骤做但做不出同样的结果。这种情况你在写报告时要换位思考——别人没经历过你的环境每一步操作都要精确到按钮位置、URL参数、请求方法。二是判断为重复漏洞。同类漏洞已经有人提交过了或者同一个根因的多个表现点算一个漏洞。这时候你先看看平台有没有公布之前的报告如果确实重复下次换个思路找新角度。三是危害评估存疑。你认为是高危的厂商认为是低危甚至忽略这是常见分歧。改进方法是加强对业务影响的理解报告里说清楚攻击链路和影响范围别只丢一个现象。四是测试影响到了业务导致报告被搁置。这个我在前面强调过测试操作一定谨慎别造成大动静。安全测试的本质是证明而不是破坏。被驳回不可怕可怕的是不知道为什么。我建议每一次被驳回都当成一次学习机会把报告再完善一遍或者换个目标继续练你的成长曲线自然就出来了。6.3 学着学着迷茫了如何保持进步节奏挖洞这件事容易陷入一个死循环没思路、没产出、怀疑自己、放弃、过几天又捡起来、还是没思路。怎么破我试过最有效的方法是给学习设置“固定动作”而不是靠状态。比如每天固定一小时前面二十分钟看别人公开的漏洞分析报告中间三十分钟在靶场里练习后面十分钟整理笔记。状态好就多做点状态差就少做点但每天都保持接触。这种方式好过周末突击一整天因为技术的消化需要反复接触。另外要多输出。在合规的前提下把自己练靶场的分析思路、写报告的结构、对某类漏洞的理解整理成文章或笔记发出来。输出的过程会让你发现自己的知识盲区。你写着写着之前模糊的概念会自动变得清晰。我自己的成长曲线就是这样的前三个月懵懵懂懂第四个月突然开窍开始能稳定提交一些中低危漏洞。后面虽然也没有爆发式增长但至少不再迷茫了。本质上SRC是一场持久战比的不是谁初始速度快而是谁能坚持更久、复盘更勤。最后分享一个我个人的习惯在准备开始挖洞之前我会先把目标平台的所有规则和已有的公开漏洞报告看一遍。这个“笨办法”让我避开了无数坑。它能帮你了解审核人员喜欢什么风格也能告诉你哪些漏洞已经被人测烂了。别嫌这一步简单SRC挖洞最有价值的能力不是掌握几个花哨技术而是懂得在一个圈定的规则里用最可靠的方式找到问题并表达清楚。把这个基本功打好后面不管是做安全的深入研究还是转向其他安全领域都会觉得顺理成章。