系列导读本文是《SRC漏洞挖掘系列》第2期。第1期我们聊了什么是SRC、它的基本价值以及为什么授权范围比工具更重要——还没看过的朋友可以先补上那一篇。为什么你“挖不到洞”可能问题出在起跑线上后台经常收到类似留言“跟着网上的视频配了Burp结果打开网页全是证书报错。”“明明注册了SRC平台测试的时候才发现测的根本不在授权范围。”“终于找到个可疑点折腾一下午发现是配置问题导致的假漏洞。”“漏洞报告写好了提交上去结果直接被判无效因为步骤信息不全。”这些问题其实不是技术能力不够而是准备工作没做到位。很多新手迟迟找不到有效漏洞不一定是水平不行——更可能是因为没认真阅读平台规则不知道什么能测、什么不能测不清楚哪些资产属于授权范围一开始就测错了目标浏览器代理配置错误抓包工具根本抓不到流量Burp Suite连CA证书都没装全是灰色报错一上来就依赖自动化扫描扫完就提交完全没验证遇到敏感数据不记录、不停止直接略过继续测漏洞报告写得像流水账平台审核看不懂、复现不了。准备工作看起来慢却能帮你避免无效测试、重复提交、业务影响和合规风险。一句话SRC挖洞的第一步不是运行扫描器而是读懂授权范围、搭好实验环境、掌握基本工具并学会在不影响真实业务和用户数据的前提下验证安全问题。本期我们就来把这件事彻底讲透。一、开始之前先搞清楚“你能测什么”1. 什么是SRCSRC全称是Security Response Center安全应急响应中心是企业建立的漏洞收集平台。白帽子在授权范围内提交有效漏洞企业给予奖励。目前国内主流SRC包括阿里云先知腾讯安全应急响应中心TSRC百度安全应急响应中心BSRC京东安全应急响应中心JSRC补天平台漏洞盒子各地攻防演练项目新手务必先从上述正规渠道开始不要私下去测任何非授权的网站。2. 必须弄清楚的几个边界很多新手在这里犯过错误请仔细理解下面每一条常见误解正确理解“我注册了平台账号就能测平台所有产品”❌ 只能测规则页面明确列出的域名/应用/接口“这个IP属于这家公司应该能测吧”❌ 必须查授权范围不在范围内一律禁止“这个漏洞我之前测过今天再测一次”⚠️ 规则可能已变更以当天最新版本为准“我先扫一下看看有什么接口”❌ 未经授权的主动扫描可能构成违规核心原则授权范围内可以测试授权范围外一律不碰。不确认就默认不可测。3. 测试前自检清单建议每次测试前逐条确认以下事项□已完成平台账号注册和实名认证□已阅读并理解最新版《漏洞收集与处理规则》□已确认本次目标处于当前有效授权范围□已了解该平台明确禁止测试的业务模块和操作类型□已设置请求频率上限建议单IP不超过30次/分钟□已关闭自动化工具的主动攻击/暴力破解功能□已准备专用测试账号非个人主账号□已创建本地记录文件准备记录时间和操作步骤□已知悉紧急停止测试的方式和平台紧急联系方式4. 出现这些情况必须立刻停手不管测试进行到什么程度一旦出现以下任一情况必须立即停止操作在响应中看到其他用户的真实姓名、手机号、地址、订单等数据可能触发订单状态变更、资金变动、积分增减等写操作测试操作导致服务器响应异常5xx错误频发、服务卡顿意外获得了管理员权限或越权访问了非授权模块发现可以进入核心生产系统或内部管理后台无法判断当前操作的后续影响是否会破坏数据平台发布公告临时撤销或缩小了授权范围。正确做法是保存最小必要的证据截图请求包停止深入验证及时通过平台指定渠道提交报告并说明情况。二、搭建一套“可控、可复现、低干扰”的基础环境新手容易犯的一个错误是工具装得太多但没一套是真正能用的。我的建议是先搭建一套最基础的工作流把每个工具用熟再按需扩展。工具全景速览工具类型推荐工具核心用途掌握程度独立测试浏览器Chrome / Firefox 专用配置文件隔离Cookie、插件和代理配置必须掌握代理切换插件FoxyProxy / SwitchyOmega一键切换代理状态必须掌握请求分析工具Burp Suite Community Edition抓包、观察、重放请求必须掌握技术栈识别Wappalyzer 插件辅助了解目标使用的公开技术了解即可内置开发工具浏览器DevToolsF12查看网络请求、Cookie、前端报错必须掌握记录与证据Markdown编辑器Typora/VSCode保存时间线、操作步骤、响应截图必须掌握本地靶场DVWA / WebGoat / Pikachu在完全隔离的环境练习优先部署下面逐一展开讲配置方法。三、工具一独立浏览器环境最容易被忽略的一步很多新手直接用日常浏览器装了各种插件、登录了多个账号去抓包测漏洞。这是一个高风险习惯。正确的做法是新建一个完全独立的浏览器配置文件专门用于安全测试。Chrome 操作方法点击右上角头像 → 选择“添加”或“管理其他用户”创建一个新用户命名为SecurityLab或类似名称在新配置文件中不登录个人Google账号安装以下必需插件FoxyProxy代理切换Wappalyzer技术栈识别在插件设置中为FoxyProxy配置Burp代理地址127.0.0.1:8080Firefox 操作方法在地址栏输入about:profiles点击“创建新配置文件”命名为SecurityLab启动新配置文件对应的浏览器实例安装 FoxyProxy 或使用Firefox原生代理设置设置 → 网络设置 → 手动代理。⚠️ 重要提醒该配置文件不要安装来源不明的第三方脚本或插件不要安装所谓的“一键挖洞插件”“自动漏洞扫描扩展”——这些可能窃取Cookie或篡改请求测试结束后关闭该窗口日常浏览使用正常配置文件两者严格隔离。四、工具二Burp Suite Community Edition新手够用社区版对新手完全够用不需要一上来就追求专业版。核心功能模块模块用途新手需要掌握的程度Proxy → Intercept拦截/放行请求能开关拦截即可Proxy → HTTP history查看历史请求和响应高频使用必须熟练Repeater重放单个请求高频使用必须熟练Decoder编码/解码URL、Base64等会用即可Comparer对比两次响应差异辅助分析了解即可Target → Site map站点结构树了解即可初期慎用扫描功能新手操作流程按顺序来启动Burp Suite双击打开默认监听127.0.0.1:8080确认代理监听地址Proxy → Options → 查看监听端口默认8080专用浏览器配置代理通过FoxyProxy设置为127.0.0.1:8080安装Burp CA证书到专用浏览器这一步避免HTTPS报错Burp中 Proxy → Proxy settings → Import / export CA certificate → Export → Certificate in DER format浏览器导入该证书并设置为“受信任的根证书颁发机构”在浏览器中访问http://127.0.0.1:8080下载证书也可以。访问本地靶场验证用配置好的浏览器打开本地靶场URL如http://127.0.0.1:8081在HTTP history中查看流量找到刚刚发起的请求发送到Repeater右键 → Send to Repeater修改无害参数并观察差异例如修改URL中的id1为id2看返回是否变化关闭拦截测试结束后在Proxy → Intercept中点击“Intercept is on”切换为off浏览器恢复正常上网。友情提示所有练习操作都应在本地靶场或授权测试环境中完成不要直接用真实SRC目标练手。五、本地靶场新手的“合法练手场”在真实SRC上练手风险太高新手必须先搭建本地靶场。推荐三款经典靶场靶场特点难度推荐度DVWADamn Vulnerable Web Application漏洞类型全面支持难度调节简单~中等⭐⭐⭐⭐⭐WebGoatOWASP出品教程式引导简单~中等⭐⭐⭐⭐Pikachu国产靶场中文友好覆盖常见漏洞简单⭐⭐⭐⭐⭐推荐部署方式Docker一键启动最省心以DVWA为例其他靶场同理bash# 拉取DVWA镜像 docker pull vulnerables/web-dvwa # 运行容器映射到本地8081端口 docker run -d -p 8081:80 vulnerables/web-dvwa启动后浏览器访问http://127.0.0.1:8081即可。如果没装Docker也可以用PHPStudy 源码手动部署网上教程很多这里不展开。靶场使用建议先在本地靶场把Burp的整套流程跑通抓包→重放→改参→观察理解每个漏洞的触发条件和影响范围后再去SRC目标上验证本地靶场可以随便“破坏”不会影响任何真实业务。六、漏洞报告决定你能否拿到赏金的关键很多新手忽略了报告质量结果漏洞是真的、赏金却没拿到。一份合格的SRC漏洞报告至少包含以下要素标准报告结构漏洞标题简洁清晰例如“XX系统登录接口存在用户名枚举漏洞”漏洞类型按平台分类选择如SQL注入、XSS、越权、信息泄露等危害等级参考平台定级标准自评严重/高危/中危/低危漏洞URL/接口具体的请求地址复现步骤核心步骤1使用了什么账号、什么配置步骤2发送了什么请求附完整请求包步骤3返回了什么响应附完整响应包或截图步骤4对比正常和异常请求的差异漏洞原理用一两句话说明为什么会产生这个问题危害说明攻击者可以利用这个漏洞做什么具体场景修复建议给出可行的修复方向可选但加分测试环境信息浏览器版本、操作系统可选⚠️ 报告中的红线不提供POC脚本或攻击代码除非平台明确要求且允许不包含任何其他用户的真实数据不包含明显的攻击载荷如scriptalert(1)/script建议使用img srcx等无害方式代替不夸大危害等级客观描述实际影响。七、必须规避的风险清单以下行为轻则报告无效重则账号封禁、追究法律责任务必知晓风险行为后果正确做法未授权测试法律风险只测授权范围内的资产读取/下载其他用户数据严重违规发现即停止最小化取证修改/删除业务数据数据破坏只进行只读验证不执行写操作高频暴力请求影响服务可用性控制频率不超过30次/分钟自动化扫描未关闭主动攻击可能触发业务告警使用前确认扫描模式为“被动/审计”公开泄露漏洞细节违反保密协议提交至平台不公开发布细节使用未授权的第三方插件Cookie/请求可能被窃取只使用官方渠道下载的插件八、你的下一步行动计划读完这篇文章请按以下顺序执行□注册1—2个主流SRC平台完整阅读其漏洞收集规则□下载安装Burp Suite Community Edition□创建独立浏览器配置文件Chrome/Firefox□配置浏览器代理并安装Burp CA证书□用Docker部署一个本地靶场DVWA或Pikachu□在本地靶场上完整走一遍“抓包→重放→改参→观察”流程□用本地靶场练手尝试写一份完整的漏洞报告即使漏洞是预设的也要认真写□确认自己完全理解授权边界后再开始阅读SRC平台的测试范围文档。写在最后工具只是辅助安全分析能力才是核心不少新手会问“我装了Burp、装了扫描器是不是就能开始挖洞了”我的回答是工具只解决“能不能看到请求”的问题不解决“知不知道哪里有问题”的问题。工具数量 ≠ 技术水平扫描器报的“漏洞”有大量误报必须人工验证真正有价值的漏洞往往藏在业务逻辑里不是自动化工具能扫出来的。更重要的是没有明确授权的系统一律不进行测试。下一期第3期我们将进入实战环节在合规靶场上进行第一次完整的漏洞分析从信息收集到漏洞验证手把手走一遍。如果你觉得这篇文章对你有帮助欢迎收藏 点赞也欢迎在评论区告诉我你在环境搭建中遇到了什么问题我来帮你排查。下期预告《【SRC漏洞挖掘系列·第3期】第一次漏洞分析从信息收集到合规靶场验证》延伸阅读《【SRC漏洞挖掘系列·第1期】什么是SRC新手如何选择适合自己的平台》《渗透测试环境搭建完全指南》资源包整理中关注我获取更新声明本文内容仅供网络安全学习与技术交流所有操作请在本地靶场或已获明确授权的环境中进行。未经授权对他人系统进行测试属于违法行为请自觉遵守法律法规及平台规则。 SRC挖洞前的准备工作，零基础也能搭好环境
系列导读本文是《SRC漏洞挖掘系列》第2期。第1期我们聊了什么是SRC、它的基本价值以及为什么授权范围比工具更重要——还没看过的朋友可以先补上那一篇。为什么你“挖不到洞”可能问题出在起跑线上后台经常收到类似留言“跟着网上的视频配了Burp结果打开网页全是证书报错。”“明明注册了SRC平台测试的时候才发现测的根本不在授权范围。”“终于找到个可疑点折腾一下午发现是配置问题导致的假漏洞。”“漏洞报告写好了提交上去结果直接被判无效因为步骤信息不全。”这些问题其实不是技术能力不够而是准备工作没做到位。很多新手迟迟找不到有效漏洞不一定是水平不行——更可能是因为没认真阅读平台规则不知道什么能测、什么不能测不清楚哪些资产属于授权范围一开始就测错了目标浏览器代理配置错误抓包工具根本抓不到流量Burp Suite连CA证书都没装全是灰色报错一上来就依赖自动化扫描扫完就提交完全没验证遇到敏感数据不记录、不停止直接略过继续测漏洞报告写得像流水账平台审核看不懂、复现不了。准备工作看起来慢却能帮你避免无效测试、重复提交、业务影响和合规风险。一句话SRC挖洞的第一步不是运行扫描器而是读懂授权范围、搭好实验环境、掌握基本工具并学会在不影响真实业务和用户数据的前提下验证安全问题。本期我们就来把这件事彻底讲透。一、开始之前先搞清楚“你能测什么”1. 什么是SRCSRC全称是Security Response Center安全应急响应中心是企业建立的漏洞收集平台。白帽子在授权范围内提交有效漏洞企业给予奖励。目前国内主流SRC包括阿里云先知腾讯安全应急响应中心TSRC百度安全应急响应中心BSRC京东安全应急响应中心JSRC补天平台漏洞盒子各地攻防演练项目新手务必先从上述正规渠道开始不要私下去测任何非授权的网站。2. 必须弄清楚的几个边界很多新手在这里犯过错误请仔细理解下面每一条常见误解正确理解“我注册了平台账号就能测平台所有产品”❌ 只能测规则页面明确列出的域名/应用/接口“这个IP属于这家公司应该能测吧”❌ 必须查授权范围不在范围内一律禁止“这个漏洞我之前测过今天再测一次”⚠️ 规则可能已变更以当天最新版本为准“我先扫一下看看有什么接口”❌ 未经授权的主动扫描可能构成违规核心原则授权范围内可以测试授权范围外一律不碰。不确认就默认不可测。3. 测试前自检清单建议每次测试前逐条确认以下事项□已完成平台账号注册和实名认证□已阅读并理解最新版《漏洞收集与处理规则》□已确认本次目标处于当前有效授权范围□已了解该平台明确禁止测试的业务模块和操作类型□已设置请求频率上限建议单IP不超过30次/分钟□已关闭自动化工具的主动攻击/暴力破解功能□已准备专用测试账号非个人主账号□已创建本地记录文件准备记录时间和操作步骤□已知悉紧急停止测试的方式和平台紧急联系方式4. 出现这些情况必须立刻停手不管测试进行到什么程度一旦出现以下任一情况必须立即停止操作在响应中看到其他用户的真实姓名、手机号、地址、订单等数据可能触发订单状态变更、资金变动、积分增减等写操作测试操作导致服务器响应异常5xx错误频发、服务卡顿意外获得了管理员权限或越权访问了非授权模块发现可以进入核心生产系统或内部管理后台无法判断当前操作的后续影响是否会破坏数据平台发布公告临时撤销或缩小了授权范围。正确做法是保存最小必要的证据截图请求包停止深入验证及时通过平台指定渠道提交报告并说明情况。二、搭建一套“可控、可复现、低干扰”的基础环境新手容易犯的一个错误是工具装得太多但没一套是真正能用的。我的建议是先搭建一套最基础的工作流把每个工具用熟再按需扩展。工具全景速览工具类型推荐工具核心用途掌握程度独立测试浏览器Chrome / Firefox 专用配置文件隔离Cookie、插件和代理配置必须掌握代理切换插件FoxyProxy / SwitchyOmega一键切换代理状态必须掌握请求分析工具Burp Suite Community Edition抓包、观察、重放请求必须掌握技术栈识别Wappalyzer 插件辅助了解目标使用的公开技术了解即可内置开发工具浏览器DevToolsF12查看网络请求、Cookie、前端报错必须掌握记录与证据Markdown编辑器Typora/VSCode保存时间线、操作步骤、响应截图必须掌握本地靶场DVWA / WebGoat / Pikachu在完全隔离的环境练习优先部署下面逐一展开讲配置方法。三、工具一独立浏览器环境最容易被忽略的一步很多新手直接用日常浏览器装了各种插件、登录了多个账号去抓包测漏洞。这是一个高风险习惯。正确的做法是新建一个完全独立的浏览器配置文件专门用于安全测试。Chrome 操作方法点击右上角头像 → 选择“添加”或“管理其他用户”创建一个新用户命名为SecurityLab或类似名称在新配置文件中不登录个人Google账号安装以下必需插件FoxyProxy代理切换Wappalyzer技术栈识别在插件设置中为FoxyProxy配置Burp代理地址127.0.0.1:8080Firefox 操作方法在地址栏输入about:profiles点击“创建新配置文件”命名为SecurityLab启动新配置文件对应的浏览器实例安装 FoxyProxy 或使用Firefox原生代理设置设置 → 网络设置 → 手动代理。⚠️ 重要提醒该配置文件不要安装来源不明的第三方脚本或插件不要安装所谓的“一键挖洞插件”“自动漏洞扫描扩展”——这些可能窃取Cookie或篡改请求测试结束后关闭该窗口日常浏览使用正常配置文件两者严格隔离。四、工具二Burp Suite Community Edition新手够用社区版对新手完全够用不需要一上来就追求专业版。核心功能模块模块用途新手需要掌握的程度Proxy → Intercept拦截/放行请求能开关拦截即可Proxy → HTTP history查看历史请求和响应高频使用必须熟练Repeater重放单个请求高频使用必须熟练Decoder编码/解码URL、Base64等会用即可Comparer对比两次响应差异辅助分析了解即可Target → Site map站点结构树了解即可初期慎用扫描功能新手操作流程按顺序来启动Burp Suite双击打开默认监听127.0.0.1:8080确认代理监听地址Proxy → Options → 查看监听端口默认8080专用浏览器配置代理通过FoxyProxy设置为127.0.0.1:8080安装Burp CA证书到专用浏览器这一步避免HTTPS报错Burp中 Proxy → Proxy settings → Import / export CA certificate → Export → Certificate in DER format浏览器导入该证书并设置为“受信任的根证书颁发机构”在浏览器中访问http://127.0.0.1:8080下载证书也可以。访问本地靶场验证用配置好的浏览器打开本地靶场URL如http://127.0.0.1:8081在HTTP history中查看流量找到刚刚发起的请求发送到Repeater右键 → Send to Repeater修改无害参数并观察差异例如修改URL中的id1为id2看返回是否变化关闭拦截测试结束后在Proxy → Intercept中点击“Intercept is on”切换为off浏览器恢复正常上网。友情提示所有练习操作都应在本地靶场或授权测试环境中完成不要直接用真实SRC目标练手。五、本地靶场新手的“合法练手场”在真实SRC上练手风险太高新手必须先搭建本地靶场。推荐三款经典靶场靶场特点难度推荐度DVWADamn Vulnerable Web Application漏洞类型全面支持难度调节简单~中等⭐⭐⭐⭐⭐WebGoatOWASP出品教程式引导简单~中等⭐⭐⭐⭐Pikachu国产靶场中文友好覆盖常见漏洞简单⭐⭐⭐⭐⭐推荐部署方式Docker一键启动最省心以DVWA为例其他靶场同理bash# 拉取DVWA镜像 docker pull vulnerables/web-dvwa # 运行容器映射到本地8081端口 docker run -d -p 8081:80 vulnerables/web-dvwa启动后浏览器访问http://127.0.0.1:8081即可。如果没装Docker也可以用PHPStudy 源码手动部署网上教程很多这里不展开。靶场使用建议先在本地靶场把Burp的整套流程跑通抓包→重放→改参→观察理解每个漏洞的触发条件和影响范围后再去SRC目标上验证本地靶场可以随便“破坏”不会影响任何真实业务。六、漏洞报告决定你能否拿到赏金的关键很多新手忽略了报告质量结果漏洞是真的、赏金却没拿到。一份合格的SRC漏洞报告至少包含以下要素标准报告结构漏洞标题简洁清晰例如“XX系统登录接口存在用户名枚举漏洞”漏洞类型按平台分类选择如SQL注入、XSS、越权、信息泄露等危害等级参考平台定级标准自评严重/高危/中危/低危漏洞URL/接口具体的请求地址复现步骤核心步骤1使用了什么账号、什么配置步骤2发送了什么请求附完整请求包步骤3返回了什么响应附完整响应包或截图步骤4对比正常和异常请求的差异漏洞原理用一两句话说明为什么会产生这个问题危害说明攻击者可以利用这个漏洞做什么具体场景修复建议给出可行的修复方向可选但加分测试环境信息浏览器版本、操作系统可选⚠️ 报告中的红线不提供POC脚本或攻击代码除非平台明确要求且允许不包含任何其他用户的真实数据不包含明显的攻击载荷如scriptalert(1)/script建议使用img srcx等无害方式代替不夸大危害等级客观描述实际影响。七、必须规避的风险清单以下行为轻则报告无效重则账号封禁、追究法律责任务必知晓风险行为后果正确做法未授权测试法律风险只测授权范围内的资产读取/下载其他用户数据严重违规发现即停止最小化取证修改/删除业务数据数据破坏只进行只读验证不执行写操作高频暴力请求影响服务可用性控制频率不超过30次/分钟自动化扫描未关闭主动攻击可能触发业务告警使用前确认扫描模式为“被动/审计”公开泄露漏洞细节违反保密协议提交至平台不公开发布细节使用未授权的第三方插件Cookie/请求可能被窃取只使用官方渠道下载的插件八、你的下一步行动计划读完这篇文章请按以下顺序执行□注册1—2个主流SRC平台完整阅读其漏洞收集规则□下载安装Burp Suite Community Edition□创建独立浏览器配置文件Chrome/Firefox□配置浏览器代理并安装Burp CA证书□用Docker部署一个本地靶场DVWA或Pikachu□在本地靶场上完整走一遍“抓包→重放→改参→观察”流程□用本地靶场练手尝试写一份完整的漏洞报告即使漏洞是预设的也要认真写□确认自己完全理解授权边界后再开始阅读SRC平台的测试范围文档。写在最后工具只是辅助安全分析能力才是核心不少新手会问“我装了Burp、装了扫描器是不是就能开始挖洞了”我的回答是工具只解决“能不能看到请求”的问题不解决“知不知道哪里有问题”的问题。工具数量 ≠ 技术水平扫描器报的“漏洞”有大量误报必须人工验证真正有价值的漏洞往往藏在业务逻辑里不是自动化工具能扫出来的。更重要的是没有明确授权的系统一律不进行测试。下一期第3期我们将进入实战环节在合规靶场上进行第一次完整的漏洞分析从信息收集到漏洞验证手把手走一遍。如果你觉得这篇文章对你有帮助欢迎收藏 点赞也欢迎在评论区告诉我你在环境搭建中遇到了什么问题我来帮你排查。下期预告《【SRC漏洞挖掘系列·第3期】第一次漏洞分析从信息收集到合规靶场验证》延伸阅读《【SRC漏洞挖掘系列·第1期】什么是SRC新手如何选择适合自己的平台》《渗透测试环境搭建完全指南》资源包整理中关注我获取更新声明本文内容仅供网络安全学习与技术交流所有操作请在本地靶场或已获明确授权的环境中进行。未经授权对他人系统进行测试属于违法行为请自觉遵守法律法规及平台规则。