免责声明本文内容仅用于合法授权 SRC 漏洞挖掘安全研究严禁未授权对互联网业务系统进行探测、攻击所有测试行为必须严格遵守厂商 SRC 安全规则禁止篡改、删除、泄露用户真实业务数据违规操作将承担对应的法律责任。文中所有案例均为模拟演练环境不代表真实线上业务。前言现在 Web 业务系统 WAF、IDS 防护越来越完善SQL 注入、XSS 这类传统漏洞产出数量逐年下降SRC 平台大量高分高危漏洞基本都来自业务逻辑漏洞。很多新手挖洞陷入一个误区依靠扫描器批量跑域名等待扫描器爆出漏洞扫几天全是低危的信息泄露很难挖到高危甚至零产出。SRC 业务系统挖洞核心不是工具爆破而是资产梳理、业务流程拆解、业务逻辑测试。同样一套域名资产有的人只能挖到几个低危目录泄露有的人可以挖到账号接管、水平 / 垂直越权、任意密码重置、条件竞争等高价值高危漏洞。本文完整梳理一套面向业务系统 SRC 挖洞全流程SRC 规则研读与资产划定、全维度资产收集测绘、业务系统功能拆解、接口抓包分析、分模块漏洞挖掘方法论、高危漏洞实战测试思路、验证与 POC 编写、漏洞报告提交规范、挖洞踩坑与避坑清单。全部结合真实 SRC 实战经验覆盖 Web 业务系统绝大多数高频漏洞场景适合 SRC 新手建立完整挖洞思维框架也可以作为日常挖洞检查清单。ATTCK 映射T1595 主动侦察T1083 文件目录探查T1059 应用层协议执行T1027 逻辑漏洞T1087 账户发现T1555 凭据泄露。一、阶段一研读 SRC 规则划定合法测试资产范围很多白帽刚上手直接搜集一堆域名就开始扫描最后发现域名不在 SRC 授权范围内漏洞直接被驳回严重还会产生违规记录。挖洞第一步不是工具而是读 SRC 官方文档。1.1 重点阅读 SRC 文档中的 4 个核心部分1授权资产范围明确哪些域名、IP、小程序、APP、H5 属于测试范围。部分厂商只授权主站不包含第三方子公司、供应商、线下内网系统部分 SRC 允许测试小程序、APP 接口。不在列表内资产不要碰。2禁止测试行为红线绝大多数 SRC 明确禁止行为禁止 DDoS、大流量暴力破解、高频并发压测业务接口禁止注册大量垃圾账号批量创建脏数据禁止越权访问真实用户隐私禁止下载大量用户数据禁止执行命令上传 WebShell禁止测试验证码短信轰炸骚扰真实用户禁止对内网未公开 IP 进行扫描。重点条件竞争测试不能对线上真实业务疯狂并发几百个请求少量请求验证漏洞存在即可避免给业务造成压力。3漏洞评分标准熟读高危、中危、低危判定标准。比如账号接管属于高危读取单条用户信息水平越权大多中危目录遍历、敏感文件泄露多为低危很多 SRC 把存储 XSS 划为高危反射 XSS 划为中危。提前知道什么漏洞分值高挖洞才有侧重点。4报告提交格式、复现要求部分 SRC 要求复现账号要求录屏要求完整请求包响应包没有可复现步骤直接驳回漏洞。1.2 资产台账整理拿到官方授权域名列表建立资产表格字段包含域名、访问状态、系统类型Web/H5 / 小程序 / APP、业务模块、备注。区分三类资产主业务站点官网、用户中心、订单系统、后台管理系统挖洞重点高分漏洞大多在这里子域名附属资产OA、测试环境、预发布环境、文档服务器、运维平台测试环境经常存在大量漏洞边缘资产静态资源站点、CDN、图片服务器这类很难产出高危以低危信息泄露为主。实战经验很多厂商预发布、测试环境子域名没有做防护存在大量漏洞但一定要确认该子域名是否在 SRC 授权范围内。二、阶段二域名资产全维度收集测绘确定合法资产范围接下来开展完整资产测绘。不要仅仅依赖单一工具多工具交叉比对防止遗漏子域名。2.2 子域名收集工具组合subfinder、amass、fofa、hunter、dns 历史解析记录、证书透明度查询。#subfinder基础命令 subfinder -d example.com -o subdomain.txt收集完成之后用 httpx 批量探测存活站点获取状态码、标题、web 指纹、端口。httpx -l subdomain.txt -status-code -title -tech-detect -o alive.txt测绘关注点区分 200、301、401、403 状态码站点403 不一定没有价值很多后台接口 403可以测试未授权访问绕过重点标记测试、dev、test、pre、staging 这类关键词的子域名标记后台、admin、manager、console、oa、cas、sso 单点登录系统。SSO 单点登录系统是高危漏洞高发地。2.3 敏感目录与文件探测拿到存活域名之后ffuf 做目录爆破。重点寻找.git、.svn源码泄露backup、sql、db数据库备份文件swagger、api-docs接口文档SRC 宝藏直接拿到全部接口参数phpinfo、crossdomain.xml、web.config配置文件注意目录爆破线程调低不要给业务造成压力遵守 SRC 规则。swagger 接口文档一旦找到直接省去大量抓包分析工作可以直接逐个测试接口权限问题。2.4 指纹识别预判漏洞风险通过 httpx、wappalyzer 识别 Web 框架SpringBoot、SpringCloud重点关注 Actuator 未授权SSTIPHP ThinkPHP关注历史 RCE 漏洞Java ShiroShiro 反序列化漏洞Django、FlaskSSTI、配置泄露自研业务系统把重心放在业务逻辑漏洞。实战经验第三方开源组件漏洞属于锦上添花大部分 SRC 高分还是自研业务逻辑漏洞不要把全部希望放在组件 CVE 上。2.5 APP 小程序资产处理如果 SRC 授权 APP / 小程序抓包导出 API 接口集合。小程序可以用 mitmproxy 抓包安卓 APP 脱壳之后反编译提取硬编码密钥、后端接口地址。很多小程序后端接口没有做权限校验。2.6 资产阶段新手常见误区❌误区 1拿到域名直接跑全套 xray 大扫描坐等出洞。扫描器擅长传统漏洞绝大多数业务逻辑漏洞扫描器检测不到完全依赖扫描器只会大量产出低危很难拿到高危。❌误区 2只扫描主域名忽略子域名大量测试环境漏洞存在于子域名。❌误区 3不筛选资产大量扫描 404、静态图片站点浪费时间。三、阶段三业务系统梳理拆解业务流程SRC 挖洞最核心环节资产收集完成挑选高价值业务站点开始梳理业务。这一步是很多人跳过的步骤直接抓包乱测效率极低。3.1 注册两个测试账号 A、B部分场景需要管理员账号必须准备两个普通账号越权、密码重置类绝大多数业务漏洞都需要两个账号互相验证。账号 A攻击者账号账号 B受害者账号很多新手只使用自己一个账号测试永远测不出越权漏洞。梳理业务流程把网站全部功能过一遍记录全部业务模块注册模块手机号注册、短信验证码、邀请码登录模块账号密码、短信登录、SSO 单点登录账号安全模块修改密码、忘记密码重置、更换绑定手机号、邮箱绑定、验证码校验用户个人中心查看个人资料、修改资料、头像、收货地址订单业务创建订单、查看订单、修改订单、取消订单、退款资产模块优惠券、积分、红包、提现内容模块发布文章、评论、上传文件后台管理如果可以访问用户管理、订单管理、配置管理3.2 对每一条业务画出正常业务流程举个例子忘记密码重置密码正常流程输入手机号→获取短信验证码→提交验证码校验→设置新密码→重置成功。画完正常流程之后思考如果我篡改请求参数、跳过某一步、复用验证码、替换手机号参数业务会不会乱掉。业务逻辑漏洞本质业务流程校验不完整客户端可控参数被服务端无条件信任。3.3 抓包保存全部 HTTP 请求Burp Suite 代理抓包浏览全部业务功能把所有接口流量保存下来。重点关注 POST、GET 请求中的参数userId、orderId、id、uid、mobile、phone、token、couponId、price、amount凡是 ID 类、金额、用户标识类参数都是高危测试点。重点区分两种参数对象参数代表要操作谁的数据比如 orderId10086代表操作 10086 这条订单。这个参数如果客户端可控最容易产生越权。操作参数代表执行什么动作type1 代表查询type2 代表修改。3.4 标记高风险业务模块优先测试更容易产出高危优先级从高到低密码找回、手机号换绑、登录认证模块账号接管高危订单、退款、红包、优惠券、提现资金相关高分用户信息、订单详情水平越权SSO 单点登录文件上传功能普通内容发布评论资金相关业务漏洞SRC 评级普遍很高条件竞争、金额篡改往往直接给到高危。四、阶段四分模块业务漏洞挖掘实战思路下面按照业务模块拆解给出每个模块测试点、测试方法、真实漏洞案例。4.1 账号认证模块注册、登录、短信验证码验证码漏洞是 SRC 高频高危来源常见问题验证码暴力破解4 位、6 位数字验证码没有频率限制可以爆破。测试方法获取一次验证码Burp Intruder 对 code 参数爆破。注意不要频繁向真实手机号发送短信只爆破本地提交校验接口不要重复调用发送短信接口避免骚扰用户。验证码复用一次验证码多次使用正常逻辑验证码校验成功之后立即失效。漏洞场景验证码验证通过之后还可以重复提交多次继续通过校验。测试拿到验证码第一次提交成功再次重复提交同一个验证码如果再次成功存在漏洞。危害会话劫持之后可以反复重置账号密码。验证码有效期过长十几小时甚至永久有效。客户端前端校验验证码后端完全不校验抓包删掉 code 验证码参数直接提交请求业务直接执行成功。短信轰炸漏洞发送验证码接口没有 IP、手机号频率限制循环调用接口可以给任意手机号无限发送短信。大部分 SRC 归为中危禁止对真实手机号大量触发。注册逻辑缺陷可以使用同一个手机号无限注册账号输入已经注册手机号返回详细账号存在提示造成用户名枚举。4.2 密码重置 / 忘记密码模块高危重灾区任意账号接管这一类漏洞一旦成功属于高危可接管任意用户账号赏金很高。梳理几种 SRC 真实高频漏洞场景。场景 1验证码校验和重置账号身份没有绑定正常流程输入手机号 A获取验证码 A‑code只能重置手机号 A 账号。漏洞获取 A 手机号验证码抓包拦截最后一步重置密码请求把请求包手机号参数修改为手机号 B提交直接修改 B 用户密码。后端只校验验证码是否正确没有校验验证码属于哪个手机号。场景 2重置 token 没有绑定用户 IDurl/resetpwd?tokenxxxxtoken 生成的时候没有绑定用户身份拿到一个 token修改请求里面 userId重置其他账号。场景 3返回包直接返回重置密码 token请求忘记密码响应数据包里面直接返回 reset token不需要接收短信直接构造链接重置任意账号。场景 4未注册手机号也可以生成重置 token。测试方法准备 A、B 两个账号完整走完重置流程每一步抓包尝试篡改手机号、userID 参数观察后端响应。4.3 越权漏洞水平越权、垂直越权越权是 SRC 出现最多的业务漏洞。水平越权平行越权同权限用户查看 / 修改其他用户数据。A 账号可以查看 B 账号订单、个人信息、收货地址。垂直越权普通用户执行管理员功能。普通账号调用管理员接口新增用户、修改全站配置。测试标准步骤使用账号 A 登录访问订单详情接口/order/detail?orderId1001拿到 A 自己订单 orderId1001Burp 拦截该请求把 orderId 改成账号 B 的订单 ID1002在 A 账号 Cookie 会话下发送请求如果成功返回 B 账号订单全部信息存在水平越权。不仅仅是 GET 查询接口POST 修改、删除接口同样要测试。修改别人手机号、删除别人订单属于高危单纯查询个人信息大多中危。坑点很多接口参数不止 id同时带上 userId需要同时修改全部身份参数才会触发漏洞。垂直越权测试思路抓包管理员账号全部接口复制管理员接口请求替换 Cookie 为普通用户 Cookie发送请求观察是否可以执行管理员操作。很多新手容易忽略 POST JSON 请求里面的 id 参数不要只测试 URL 上的 GET 参数。4.4 条件竞争竞争条件漏洞高价值漏洞多出现在优惠券领取、红包、下单、提现场景。原理业务没有锁多个并发请求同时到达服务器数据库没有做原子判断导致业务逻辑被绕过。例子业务限制每个用户只能领取 1 张优惠券并发发送 20 次领取请求用户领取十几张优惠券。⚠️SRC 测试注意不允许线上并发几百请求压测Burp Repeater 发送 5‑10 个并行请求验证即可避免对线上业务产生压力。常见场景清单优惠券、活动奖励重复领取库存绕过超量下单重复提现重复退款4.5 支付、订单业务逻辑漏洞客户端可控金额参数服务端没有二次校验。下单请求 price 参数由前端传递修改 price0.01低价购买高价商品。注意现在大部分线上真实业务支付金额后端从数据库读取这种漏洞现在变少但外包自研系统经常出现。订单篡改修改订单所属用户 ID退款逻辑漏洞重复退款退款金额大于订单金额。4.6 文件上传漏洞前端后缀校验抓包修改后缀绕过文件名解析漏洞图片二次渲染绕过上传路径可控路径遍历。注意SRC 环境禁止上传 webshell验证漏洞存在上传普通 php 文本即可不要执行恶意脚本。4.7 未授权访问漏洞测试方法复制接口完整 URL浏览器无痕模式打开删除 Cookie、token直接发送请求。不需要登录身份访问后台页面、查询接口、用户数据。常见位置swagger 接口文档、后台管理页面、内部业务接口。区分未授权可以访问后台页面但是不能执行操作一般中危。未授权直接调用接口增删改查数据直接判定高危。4.8 信息泄露类漏洞大量低危但可以作为突破口.git源码泄露拿到源代码之后审计代码逻辑挖掘更多高危备份文件 sql、bak错误页面泄露路径、数据库版本API 接口返回过多敏感字段用户手机号、身份证明文返回响应包。单纯信息泄露大多低危但是如果源码泄露从源码挖到逻辑漏洞就升级高危。4.9 SS O 单点登录漏洞SSO 是高危漏洞高发点SSO 签名校验缺失攻击者伪造用户身份重定向劫持open‑redirecttoken 泄露会话固定漏洞。五、阶段五传统 Web 漏洞补充挖掘SQL 注入、XSS、CRLF 等业务逻辑测试完成之后再测试传统 Web 漏洞。扫描器 xray 可以辅助但是扫描结果必须人工复现确认不能直接拿扫描器输出提交报告很多误报。SQL 注入GET/POST 参数JSON 参数Cookie 参数都需要测试XSS存储型、反射 XSS富文本编辑器CRLF 注入URL 跳转漏洞参数 url、target、redirectXXE如果接口接收 XML 数据SSRF业务存在访问外部资源功能图片加载、获取远程内容。现实 SRC 现状成熟互联网大厂传统漏洞很少外包、中小企业业务系统注入 XSS 产出会高一些。六、阶段六漏洞验证留存证据提交报告成败关键发现疑似漏洞之后不能立刻提交完成规范验证规避误报留存完整证据。6.1 验证三原则复现可稳定复现不是偶然触发多次操作稳定复现漏洞。很多环境偶发 bug 不算安全漏洞。最小化测试不要污染真实用户数据。测试越权只用自己两个测试账号不要去尝试遍历大量 ID 遍历其他真实用户数据。SRC 规则禁止批量爬取用户信息。不做破坏性操作不要删除数据不要修改真实用户信息。6.2 需要留存的证据材料完整 HTTP 请求包、响应包Burp 复制完整 raw 报文截图需要包含 URL 地址栏、请求参数、漏洞触发返回结果敏感信息做脱敏打码手机号只保留前后几位复杂高危漏洞建议录屏复现完整操作链路记录漏洞影响范围哪些接口、哪些域名受影响。坑很多新手提交报告只有一张结果截图没有请求包厂商审核人员无法复现直接驳回漏洞。七、阶段七SRC 漏洞报告编写完整模板一份高质量漏洞报告由这几部分组成漏洞标题、漏洞描述、影响资产、复现步骤、POC 请求报文、漏洞危害、修复建议腾讯安全应…。报告模板示例漏洞标题XX 业务系统水平越权可查看任意用户订单信息影响域名https://test.example.com漏洞描述业务订单查询接口后端未校验请求用户与订单归属身份攻击者登录普通账号修改 orderId 参数即可读取其他用户完整订单、收货地址、手机号等敏感信息。复现步骤使用账号 A测试账号登录系统Burp 开启代理访问我的订单抓包订单查询请求GET /api/order/detail?orderId10001A 账号自己订单复制该数据包修改 orderId 参数为账号 B 的订单 idorderId10002使用账号 A 的 Cookie 发送请求服务器返回账号 B 完整订单数据触发越权漏洞。POC 请求包完整 raw http 报文粘贴漏洞危害攻击者可以读取全部用户订单、收货手机号等隐私数据造成大规模用户信息泄露。修复建议后端接口校验当前登录用户身份校验 orderId 对应的订单所属 userID 必须和当前会话登录用户一致禁止完全信任客户端传递的 orderId 参数。写报告避坑标题清晰直接不要写 “某处存在高危漏洞” 模糊描述复现步骤按 1、2、3 顺序审核人员照着步骤可以复现危害实事求是不要夸大修复建议针对性不要网上复制通用模板。八、SRC 挖洞高频踩坑总结坑 1过度依赖自动化扫描器扫描器擅长传统漏洞业务逻辑漏洞 90% 扫描器无法识别。只跑扫描器产出基本只有低危。正确流程资产测绘→人工业务拆解 抓包测试扫描器作为辅助补充。坑 2只用一个账号测试业务越权、密码重置漏洞必须至少准备两个测试账号单账号永远无法验证漏洞。坑 3批量暴力遍历 ID爬取大量真实用户数据SRC 明确禁止就算挖到漏洞也会判定违规漏洞不予接收严重封禁账号。测试越权手动替换少量 ID 验证漏洞存在即可。坑 4测试验证码短信轰炸大量给真实手机号发送短信违规行为不要做。只在自己测试手机号做少量验证。坑 5把偶现业务 bug 当做安全漏洞提交不稳定复现的业务 bug 不属于安全漏洞提交直接驳回。坑 6不看 SRC 规则测试不在授权范围内的域名漏洞直接被拒留下不良记录。坑 7提交报告缺少请求报文只有一张截图审核人员无法复现漏洞被打回。坑 8条件竞争并发大量请求压测线上业务违反 SRC 规则造成业务故障责任由白帽承担。少量请求确认漏洞即可。坑 9拿到 swagger 接口文档直接批量调用接口爬取数据只做权限验证测试不要批量拉取业务真实数据。九、实战完整模拟案例模拟 SRC 业务挖洞全过程目标厂商 example‑src.com已经确认域名在 SRC 授权资产。研读 SRC 规则确认允许测试 web 站点禁止大流量压测。资产收集subfinder 收集子域名httpx 筛选存活站点发现预发布站点pre.example.com存在用户中心、密码重置、订单系统。ffuf 目录扫描发现pre.example.com/swagger‑doc 接口文档导出全部 API 接口。注册 A 账号、B 账号两个测试账号Burp 抓包浏览全部业务流程。梳理忘记密码重置完整业务链路。测试密码重置模块走完完整重置流程抓包最后一步提交重置密码请求请求参数mobileA手机号code123456newPasswordxxxx拦截数据包把 mobile 参数修改为 B 手机号code 保留 A 手机号收到的验证码发送请求业务返回重置成功B 账号密码被修改。确认存在任意账号密码重置高危漏洞。留存完整 http 请求响应报文录屏复现过程手机号信息截图脱敏。整理漏洞报告填写标题、影响资产、复现步骤、POC 报文、危害、修复建议提交 SRC 平台。漏洞审核确认定级高危。整个漏洞没有使用任何扫描器 payload完全依靠拆解业务流程抓包篡改参数这就是 SRC 业务系统最典型高危漏洞产出路径。十、提升 SRC 挖洞产出效率的习惯建立自己挖洞 checklist每一个业务模块按照 checklist 逐项测试避免漏测试点重点关注预发布、测试环境很多开发测试环境安全校验缺失遇到 swagger、api‑docs 接口文档优先分析极大节省抓包时间优先测试账号、资金相关高风险业务模块不要在静态页面浪费大量时间挖到信息泄露、源码泄露不要直接结束利用泄露信息进一步深挖业务逻辑漏洞同一个厂商资产定期复测业务版本迭代更新会引入新业务漏洞。总结SRC 业务系统红队挖洞完整链路可以概括熟读 SRC 安全规则划定资产范围→多工具资产测绘收集域名接口→注册多测试账号拆解完整业务流程→抓包分析关键业务参数按照模块逐项测试业务逻辑漏洞→传统扫描工具做补充→完整漏洞验证留存证据→编写规范可复现漏洞报告提交。在现在真实 SRC 环境传统注入 XSS 越来越少业务逻辑漏洞才是高分漏洞主力军。挖洞比拼的不完全是漏洞 payload 积累更多是业务拆解能力、细心程度对业务流程逻辑的思考不要把全部希望寄托扫描器。同时务必守住白帽底线所有操作严格遵守厂商 SRC 授权协议杜绝任何破坏性测试行为。本文仅用于合法安全研究禁止未授权攻击行为。以上就是今天的分享觉得有帮助记得点赞收藏以上所说到的漏洞扫描工具都整理成压缩包了朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】同时还为准备学习网络安全黑客或者正在学习整理了一套360独家内部资料包含以下内容如有需要也可文末获取①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】