1. 项目概述从赏金猎人视角看Web应用安全如果你对网络安全感兴趣或者想通过合法途径赚取一笔可观的额外收入那么“Bug Bounty”漏洞赏金这个词你一定不陌生。它早已不是极客圈的小众游戏而是演变成了一个成熟的、全球化的安全生态。简单来说就是企业或组织公开悬赏邀请安全研究人员我们通常自称“猎人”在其授权的范围内寻找并报告安全漏洞并根据漏洞的严重程度支付奖金。这听起来很酷对吧但现实是每天有成千上万的新手涌入HackerOne、Bugcrowd这些平台却常常在提交了数十个无效报告后颗粒无收最终黯然离场。问题出在哪里核心在于缺乏一套高效、系统且经过实战验证的漏洞发现方法论。今天我们不谈空洞的理论也不罗列那些你早已在OWASP Top 10里看腻的漏洞定义。我将结合自己多年在各大赏金平台“狩猎”的经验聚焦于Web应用安全为你拆解10个能真正帮你快速定位高危漏洞的实战技巧。这些技巧不是孤立的工具使用而是一套从信息收集到漏洞验证的完整思维框架和操作流程。无论你是正在备战“2025年全国大学生软件测试大赛Web应用测试省赛”的学生还是苦恼于如何将Claude Code Agent这类AI组件安全集成到自家应用的开发者亦或是担心自己项目是否存在类似“CVE-2023-44487”HTTP/2快速重置攻击或“CVE-2026-4800 – Lodash安全漏洞”隐患的工程师这套方法都能为你提供直接的、可操作的思路。我们的目标很明确绕过那些华而不实的表面扫描直击漏洞核心让你的每一次测试都有的放矢。2. 狩猎前的准备构建高效测试环境与思维模式在扣动扳机之前优秀的猎人必须熟悉自己的武器并了解猎场的环境。直接对着目标网站乱试一通不仅是低效的在某些情况下还可能违反规则导致账号被封禁。2.1 核心工具链配置与协同工欲善其事必先利其器。但工具不在于多而在于精和协同。我的主力工具链通常由以下几部分组成代理与流量拦截器Burp Suite Professional / OWASP ZAP这是你的“手术刀”和“显微镜”。Burp Suite的Repeater、Intruder、Scanner模块是手动和自动化测试的核心。务必熟练使用其项目级配置特别是Target作用域设置确保你的所有流量只流向授权测试的目标避免误操作。对于初学者OWASP ZAP是一个功能强大且免费的开源替代品。浏览器与插件生态主浏览器Chrome/Firefox需要配置一套插件。Cookie编辑器用于快速查看、编辑和操纵会话Cookie测试权限绕过时不可或缺。Wappalyzer / BuiltWith快速识别目标使用的技术栈如前端框架Vue 2.0/3.0、后端服务器Nginx/F5、JavaScript库Lodash版本等。这能帮你快速联想相关历史漏洞比如看到Lodash就要立刻想到其历史上的一系列原型污染漏洞CVE-2021-23337等并针对性测试。Hack-Tools集合了多种实用小工具如编码解码、哈希计算、Payload生成等。浏览器开发者工具这本身就是最强大的工具之一。重点关注Network面板分析所有请求响应、Console面板查看前端错误、执行JavaScript、Sources面板调试前端源码和Application面板查看存储的Cookies、LocalStorage等。侦察与信息收集套件Subfinder / Amass / Assetfinder用于子域名枚举目标是尽可能扩大攻击面。httpx / httprobe快速验证枚举出的域名/子域名是否存活并获取标题、状态码、Web服务器等信息。waybackurls / gau从历史档案如Wayback Machine和当前内容中提取目标的所有已知URL和参数这是发现隐藏接口的宝藏。ffuf / gobuster目录和文件暴力破解工具用于发现未链接的敏感文件如/admin,/backup.zip,/config.php。专项测试工具sqlmap自动化SQL注入检测但在赏金项目中需谨慎使用避免对生产环境造成压力。最好在本地或测试环境复现后使用其--dump等高级功能。XSStrike专注于检测和利用跨站脚本XSS漏洞其模糊测试引擎比简单Payload投放更智能。nuclei基于模板的漏洞扫描器社区有大量现成模板CVE漏洞、配置错误等。你可以用它快速扫描目标是否存在已知的、公开的漏洞例如针对特定版本的Nginx或F5的漏洞检测模板。注意工具自动化扫描特别是nuclei、sqlmap的主动扫描模式在公共赏金项目中要极其克制。许多平台明确禁止主动扫描因其可能对服务造成拒绝服务DoS影响。始终以“低且慢”的手动测试为主自动化仅用于信息收集和辅助验证。2.2 确立正确的测试思维假设与验证工具是手臂思维才是大脑。在开始测试前建立以下思维模式“一切皆输入一切皆输出”所有用户可控的数据点都是潜在的输入点URL参数、表单字段、HTTP头、文件上传、WebSocket消息等。所有在响应中返回的、被浏览器解析的数据都是输出点。漏洞就发生在对“输入”的处理不当导致在“输出”时产生非预期行为。“权限边界是黄金区”最严重的漏洞往往出现在权限控制失效的地方。时刻思考“如果我是一个低权限用户甚至未登录用户我能否执行高权限操作如访问他人数据、修改系统配置”“旧代码、新功能、第三方依赖是重灾区”遗留系统往往安全更新不及时新上线的功能可能未经充分安全评审而引入的第三方库如lodash、jQuery和组件如Claude Code Agent可能自带安全风险。你的信息收集阶段就要锁定这些目标。“上下文比Payload更重要”一个在script标签里成功的XSS Payload在HTML属性里可能完全无效。理解输入被嵌入的上下文HTML正文、属性、JavaScript字符串、CSS等是构造有效攻击的前提。3. 技巧一深度信息收集——绘制你的攻击地图很多人轻视信息收集觉得就是跑跑子域名枚举。实际上这是决定你狩猎成功率超过50%的关键阶段。你的目标是绘制一张尽可能详细的“攻击地图”。3.1 超越基础枚举资产发现与关联子域名枚举与筛选使用工具组合如subfinder -d target.com | httpx -status-code -title获取存活子域。不要只看*.target.com还要关注其可能收购的子公司域名、使用的云服务商域名如*.s3.amazonaws.com,*.cloudfront.net以及开发/测试环境dev.,staging.,test.。这些边缘系统往往防护更弱。历史数据挖掘使用waybackurls target.com | grep ““ | qsreplace “test”这类命令可以从历史快照中提取带有参数的URL并自动将参数值替换为测试值。这能发现大量已从当前主站移除但后端接口依然可用的“幽灵端点”。JavaScript文件分析现代Web应用尤其是Vue、React等SPA的核心逻辑和API端点常打包在JS文件中。用工具如katana -u https://target.com -js-crawl爬取所有JS文件然后手动或用脚本如LinkFinder从中提取新的端点/api/v1/user/、子域名、API密钥模糊正则匹配和硬编码的秘密。这是发现“隐藏API”的绝佳方式。第三方依赖与组件识别通过Wappalyzer识别前端框架、JS库。访问/package.json、/composer.json等文件如果存在获取精确版本。然后立刻去搜索这些版本存在的已知CVE。例如发现Lodash版本低于4.17.21就可以直接尝试原型污染漏洞。对于“claude code agent”这类AI组件要研究其官方文档和GitHub issues看是否有已知的安全配置建议或漏洞报告。3.2 构建个性化侦察工作流不要手动执行每一步。将上述过程脚本化。一个简单的Bash或Python脚本可以自动化子域名发现 - 存活验证 - 截图 - 端口扫描对非Web服务 - 从JS中提取端点 - 使用nuclei进行基础漏洞扫描仅使用低危模板。这样你每天可以同时侦察多个目标筛选出最有潜力的进行深度手动测试。实操心得在信息收集阶段我习惯创建一个OneNote或Obsidian页面为每个目标建立档案。将发现的资产、技术栈、可疑端点、凭据如测试账号都记录在内。在后续测试中不断交叉引用往往能发现逻辑漏洞。例如在A子域发现的用户ID格式可能在B子域的API中通用。4. 技巧二参数污染与服务器端注入漏洞挖掘SQL注入和命令注入等高危漏洞在如今框架普及的情况下虽有所减少但远未绝迹且常出现在非标准的位置。4.1 拓宽“参数”的边界不要只盯着URL查询字符串?id1和POST表单。将以下所有点都视为参数进行测试HTTP请求头X-Forwarded-For,User-Agent,Referer,Cookie除了会话标识其他自定义Cookie值、Host。尝试注入SQL片段、HTML或命令分隔符。文件名与文件路径上传功能中的文件名、通过参数传递的文件路径如/download?file../../etc/passwd。JSON/XML请求体深入测试JSON中的每一个键值对。有时应用会对username进行过滤但忽略了嵌套在profile.address里的字段。GraphQL查询如果目标使用GraphQL这是一个巨大的测试面。通过内省查询获取架构然后针对每个字段和参数进行注入测试。GraphQL的批量查询和嵌套查询特性容易导致资源耗尽DoS和逻辑漏洞。4.2 基于响应的差异化测试Diffing这是手动发现注入漏洞SQLi、NoSQLi、模板注入SSTI的核心技巧。使用Burp Repeater发送一个包含正常参数值的基准请求保存响应。修改参数注入一个能引发“错误状态”的Payload例如SQLi:1 AND 121 AND SLEEP(5)NoSQLi:{$ne: }{$gt: }SSTI:{{7*7}}${7*7}% 7*7 %发送请求将新响应与基准响应进行逐字对比。关注HTTP状态码变化从200变成500内部服务器错误这可能直接暴露了SQL错误。响应时间差异使用了SLEEP()或BENCHMARK()的Payload是否导致响应明显变慢如从50ms增加到5000ms这是盲注的强烈信号。响应内容差异错误信息中是否包含数据库类型MySQL, PostgreSQL、堆栈跟踪可能暴露框架信息或者数学表达式{{7*7}}被计算成了49并输出响应长度差异即使页面看起来一样长度是否变化可能一个查询返回了空结果集。注意事项对于时间盲注Burp的Intruder工具可以设置Grep - Extract来捕获响应时间并配合Columns设置显示Response received时间差从而自动化识别延迟。但务必设置合理的线程和延迟避免DoS。5. 技巧三现代XSS攻击面与绕过技巧XSS依然是赏金计划中的常客但传统的scriptalert(1)/script几乎在所有WAF面前都会失效。我们需要更精巧的方法。5.1 寻找非常规的输入输出点客户端模板渲染如果目标使用Vue.js特别是Vue 2注意v-html指令或未过滤的{{ }}插值。虽然Vue默认对插值进行HTML转义但如果开发者在v-html中直接绑定用户数据就会导致XSS。测试时可以尝试注入img srcx onerroralert(1)。动态JavaScript执行寻找如eval()、setTimeout()、setInterval()、Function()构造函数或innerHTML中拼接了用户输入的地方。例如scriptvar userInput ‘[可控点]’; eval(‘console.log(“’ userInput ‘“)’);/script你可以尝试闭合字符串并执行代码”);alert(1);//。基于DOM的XSSDOM-XSS这种XSS的源头Source和汇点Sink都在浏览器端不涉及服务器响应。常见Source包括document.location.*(hash, pathname, search)、document.referrer、window.name、postMessage。常见Sink包括innerHTML、outerHTML、document.write()、eval()。使用浏览器的开发者工具在Sources面板设置断点跟踪用户输入如何从Source流向Sink。JSONP端点与回调函数一些老式API支持JSONP通过callback参数指定回调函数名。如果这个参数未过滤可以注入恶意函数名callbackalert(1);//导致响应变为alert(1);//({...})从而执行XSS。5.2 绕过过滤与WAF的实用Payload编码与混淆HTML实体编码-lt;但某些上下文可能双重解码。JavaScript Unicode转义alert(1)-\u0061\u006c\u0065\u0072\u0074(1)。利用String.fromCharCode()alert(1)-eval(String.fromCharCode(97,108,101,114,116,40,49,41))。利用HTML标签和事件属性的多样性WAF规则库可能只覆盖了常见标签。尝试一些生僻但有效的标签和事件标签svg onloadalert(1)details ontogglealert(1)需要用户交互input onfocusalert(1) autofocus。事件onpointerenteronloadstartonanimationend。协议与伪协议在a href或iframe src中尝试javascript:伪协议的各种变体JaVaScRiPt:alert(1)javascriptcolon;alert(1)HTML实体或者利用data:协议iframe srcdata:text/html,scriptalert(1)/script。6. 技巧四逻辑漏洞的“上帝视角”测试逻辑漏洞是赏金猎人的“圣杯”因为它们通常危害大、难以被自动化工具发现且赏金丰厚。测试逻辑漏洞需要你像产品经理和开发者一样思考业务流程。6.1 业务流篡改与顺序绕过多步骤流程的跳过在注册、下单、支付等多步骤流程中尝试直接访问最终步骤的URL或调用最终步骤的API绕过前面的验证如身份验证、库存检查、优惠券校验。使用Burp的Proxy - HTTP history仔细分析每一步的请求尝试打乱顺序或跳过中间步骤。参数篡改与越权水平越权将请求中的用户ID、订单号、文件ID等标识符修改为其他用户的。例如GET /api/orders/12345 尝试改为/api/orders/12346。这需要你先拥有两个测试账号A和B用A的凭证去访问B的资源。垂直越权低权限用户尝试访问高权限功能。例如普通用户尝试访问/admin目录或调用POST /api/admin/createUser接口。关注Cookie、Token或请求头中是否存在roleuser这样的字段尝试修改为roleadmin。数量与价格操纵在购物车、积分兑换等场景拦截修改数量参数为负数quantity-1看是否会增加余额或库存修改单价参数price0.01或总额参数total_amount1在HTTP参数污染中多次提交同一参数coupon_codeFREE100coupon_code50OFF看后端如何处理是否可能叠加优惠。6.2 竞争条件漏洞挖掘这类漏洞发生在并发处理共享资源时由于时序问题导致状态异常。经典案例是“并行抢购导致超卖”或“并行充值导致余额倍增”。测试方法使用Burp Suite的Turbo Intruder扩展社区版可用或Intruder的Pitchfork攻击类型配合多线程。实战场景充值漏洞假设有一个“兑换积分”功能请求A用10元兑换100积分。你同时发送100个相同的请求使用同一个会话。如果后端逻辑是“检查余额扣款增加积分”且没有加锁可能导致只扣了一次10元却增加了100次100积分。邀请奖励漏洞邀请新用户注册邀请人获得奖励。同时并发多个“确认邀请”的请求可能导致获得多次奖励。操作要点在Turbo Intruder中你需要编写一个简单的Python脚本来定义请求和并发逻辑。核心是让所有请求在极短时间内毫秒级同时发出。7. 技巧五文件上传漏洞的深入利用文件上传功能是获取服务器权限的捷径但防护也日益严格。我们需要多角度尝试。7.1 绕过前端与后端验证前端绕过直接使用Burp拦截上传请求修改文件名和内容绕过JavaScript的文件类型检查。黑名单绕过如果后端禁止.php,.jsp等尝试大小写.Php,.PHP双扩展名.php.jpg,.php.png可能被解析为PHP尾部空格/点.php..php在Windows系统中可能被去除特殊字符.php%00.jpg空字节截断在特定环境下有效非常规扩展名.phtml,.phps,.php5,.php7取决于服务器配置内容类型Content-Type绕过拦截请求将Content-Type: image/jpeg修改为Content-Type: text/php或application/x-php。文件内容与幻数绕过服务器可能检测文件头Magic Bytes。对于图片马可以在真实的图片文件开头或末尾追加PHP代码如GIF89a; ?php phpinfo(); ?。也可以尝试用Exif工具将PHP代码写入图片的元数据中。7.2 结合服务器解析特性与目录穿越服务器解析漏洞了解目标服务器Nginx, Apache, IIS的特定版本是否存在解析漏洞。例如历史上有IIS6.0的/xx.asp;.jpg目录解析漏洞Nginx的某些错误配置导致/test.jpg/.php被解析为PHP。路径遍历结合上传如果上传功能允许指定存储路径或从参数中读取文件路径尝试目录遍历filename../../../var/www/html/shell.php。或者上传到可访问的临时目录再通过文件包含漏洞LFI来执行它。二次渲染绕过一些应用如头像上传会对图片进行压缩或裁剪二次渲染。这会使嵌入在像素数据中的代码失效。此时需要研究渲染算法的弱点精心构造一个经过渲染后依然能保持恶意代码有效的图片文件这需要较深的二进制文件格式知识。8. 技巧六不安全的直接对象引用与访问控制缺失IDOR不安全的直接对象引用是越权漏洞中最常见的一种本质是服务器在提供资源时未验证当前用户是否有权访问该资源ID。8.1 系统化发现IDOR不要随机猜测ID。建立一个方法论枚举资源ID格式通过正常操作收集你账户下的各种ID用户IDuid1001、订单号order_id20250321123456、文档IDfile_idabc123def、消息IDmsg_id789。观察它们的格式是自增数字UUID哈希值测试可预测性自增数字最简单直接1/-1测试。UUID看似随机但如果是v1版本基于时间戳和MAC地址可能有一定规律或者应用在其他地方如列表页泄露了其他用户的UUID。哈希/编码ID尝试对已知ID进行解码Base64, Hex等。有时ID只是经过简单编码的原始数字。扩大测试范围IDOR不仅存在于/api/user/[id]。检查所有接收ID参数的端点/api/download/[file_id],/api/delete/[post_id],/api/change_email/[user_id] 甚至是/api/logs?user_id[id]。8.2 高级IDOR与间接引用批量IDOR如果有一个接口支持通过数组ID批量获取资源如POST /api/get_profiles {“user_ids”: [1001, 1002, 1003]}尝试加入未授权的ID。基于其他参数的IDOR权限控制有时不基于ID而是基于其他参数。例如GET /api/company/[company_id]/employees 通过修改company_id来访问其他公司的员工列表。即使你无法直接访问/api/company/[other_company_id]但这个“嵌套资源”接口可能存在漏洞。POST请求中的IDORIDOR不仅存在于GET请求。在修改、删除操作的POST/PUT/DELETE请求中同样要检查Body中的ID参数。实操心得我习惯在Burp中将我的测试账号低权限和目标账号高权限或其他用户的所有请求都记录下来。然后使用Burp的Compare功能对比同一个功能点如查看个人资料两个账号的请求差异。除了ID不同有时还会发现一些用于权限校验的隐藏HTTP头或Cookie这为进一步的越权测试提供了线索。9. 技巧七服务器端请求伪造漏洞的利用链构建SSRF允许攻击者诱使服务器向任意内部或外部网络发起请求。它的危害远超读取本地文件可以用于攻击内网服务、绕过防火墙。9.1 发现SSRF潜在点寻找任何服务器会根据用户输入发起网络请求的功能网页截图/预览功能输入URL服务器去抓取文件导入功能从远程URL导入Webhook配置服务器会向配置的URL发送回调文档转换/处理服务社交媒体链接预览内部使用的“获取远程文件”API9.2 利用技巧与协议拓展探测内网与端口扫描利用SSRF作为代理探测服务器所在内网的存活主机和开放端口。使用Burp Collaborator或类似工具如interact.sh来接收带外OOBDNS/HTTP请求以确认漏洞存在并盲测端口。Payload:http://169.254.169.254/latest/meta-data/AWS元数据服务Payload:http://192.168.0.1:8080尝试常见内网IP和端口使用file://协议读取本地文件file:///etc/passwd利用非HTTP协议许多SSRF漏洞的利用依赖于后端使用的库如curl、requests支持的协议。file://读取服务器本地文件。dict://可以用于探测端口甚至与Redis、Memcached等服务交互如果它们未授权访问。例如dict://attacker:6379/info可能向你的服务器6379端口发送INFO命令。gopher://一个非常强大的协议可以构造原始的TCP数据包用于攻击内网的Redis、MySQL、FastCGI等服务甚至可以直接获取Shell。这是SSRF利用的高级阶段。ldap:///ldaps:///tftp://攻击内部的其他服务。绕过过滤与黑名单IP地址编码2130706433是127.0.0.1的十进制表示。0x7f000001是十六进制。0177.0.0.1是八进制。127.1等价于127.0.0.1。利用DNS解析将恶意IP绑定到自己的域名如evil.com的A记录指向192.168.1.1。或者使用xip.io这类服务127.0.0.1.xip.io解析到127.0.0.1。URL跳转与重定向如果目标服务器允许跟随重定向可以先提供一个指向内网地址的302重定向URL。例如你控制的https://attacker.com/redirect返回一个Location: http://169.254.169.254/的响应头。片段标识符#与问号?有时过滤逻辑在#或?之前。尝试http://evil.com169.254.169.254#attacker.com或http://attacker.com/?urlhttp://169.254.169.254。10. 技巧八配置错误与信息泄露的自动化筛查许多严重漏洞源于错误的配置而非代码缺陷。这些往往可以通过系统化的检查发现。10.1 常见配置错误检查清单HTTP安全头缺失使用curl -I或浏览器插件检查Content-Security-Policy缺失或配置不当会导致XSS缓解失效。Strict-Transport-Security缺失可能导致SSL剥离攻击。X-Frame-Options/Content-Security-Policy: frame-ancestors缺失可能导致点击劫持。X-Content-Type-Options: nosniff缺失可能导致MIME类型混淆攻击。Referrer-Policy缺失可能导致敏感URL通过Referrer泄露。错误的CORS配置检查Access-Control-Allow-Origin头。如果其值为*通配符并且接口涉及敏感数据或操作则存在风险。更危险的是如果Access-Control-Allow-Credentials: true且Origin头被反射或校验不严可能导致 credentialed 请求被跨域读取。敏感文件与目录泄露暴力破解常见备份、配置、版本控制文件.git/,.svn/,.DS_Store,robots.txt,sitemap.xml,web.config,.env,config.php,backup.zip,dump.sql。检查/admin,/phpmyadmin,/wp-admin,/console等常见管理后台路径。云存储桶配置错误对于使用AWS S3、Google Cloud Storage、Azure Blob的服务其存储桶Bucket可能被配置为“公开可读”甚至“公开可写”。工具如awscli、s3scanner或在线扫描器可以帮助发现。URL模式通常为https://[bucket-name].s3.[region].amazonaws.com/。10.2 利用自动化工具进行初筛对于配置错误和信息泄露可以安全地使用自动化工具进行广谱扫描作为手动测试的补充。nuclei使用其庞大的社区模板库可以快速扫描目标是否存在缺失的安全头、暴露的.git目录、默认凭据、特定版本的已知漏洞如你提到的F5 Nginx漏洞CVE-2023-44487等。运行命令如nuclei -u https://target.com -severity medium,high,critical。nikto经典的Web服务器扫描器能识别服务器类型、过期版本、潜在的危险文件等。自定义脚本写一个简单的Python脚本使用requests库批量检查上面提到的安全头、敏感路径和文件。注意事项即使自动化工具扫描出疑似漏洞如.git目录暴露也必须进行手动验证。因为工具可能报告误报例如返回403状态码的.git目录通常不可访问。手动验证包括尝试访问/.git/HEAD文件如果返回ref: refs/heads/master等内容则确认泄露然后可以使用git-dumper这类工具尝试下载整个仓库源码。11. 技巧九API安全测试——GraphQL与RESTful的独特风险现代应用前后端分离API成为主要攻击面。RESTful API和GraphQL各有其测试重点。11.1 RESTful API深度测试认证与授权绕过Token处理不当删除Authorization头或使用无效Token看是否返回401/403。有时删除后反而能匿名访问认证缺失。尝试将低权限用户的Token用于高权限端点。JWT篡改如果使用JWT将其解码在 jwt.io 尝试修改alg为none如果支持或修改payload中的role字段然后重新签名如果密钥强度弱或泄露。批量操作与速率限制缺失测试创建、更新、删除资源的接口是否支持批量操作通过JSON数组并检查是否对操作数量进行限制。例如POST /api/users传入一个包含1000个用户对象的数组可能导致资源耗尽。同时检查接口是否有速率限制防止暴力破解。不安全的HTTP方法使用OPTIONS方法探测API支持的HTTP方法。尝试PUT,PATCH,DELETE等方法看是否在未授权的情况下可对资源进行修改或删除。11.2 GraphQL API攻击面GraphQL的灵活性带来了独特的安全挑战。内省查询默认情况下GraphQL端点允许内省查询即通过查询__schema获取完整的类型、查询和变更定义。这相当于一份详细的API地图。发送一个标准的 introspection query 即可获取。拒绝服务攻击深度嵌套查询利用GraphQL的嵌套关系构造一个极其深的查询例如{ user { posts { comments { author { posts { ... } } } } }可能导致服务器递归解析时资源耗尽。批量查询通过别名alias在单个请求中发送大量查询{ alias1: heavyQuery, alias2: heavyQuery, ..., alias100: heavyQuery }。防御建议服务器应设置查询深度限制、复杂度限制和令牌超时。信息泄露即使查询需要认证错误信息有时也会泄露敏感信息。尝试构造错误的查询观察返回的错误信息是否包含堆栈跟踪、数据库错误或内部字段名。突变操作测试像测试RESTful API一样测试GraphQL的mutation操作关注权限控制和业务逻辑漏洞。12. 技巧十漏洞报告的艺术——从发现到赏金找到漏洞只是成功了一半。一份清晰、专业、可复现的报告是获得赏金和建立声誉的关键。12.1 编写高质量报告的核心要素清晰的标题一句话概括漏洞本质和影响。例如“[目标域名] - 通过未授权访问/api/admin/users端点导致用户信息泄露”而不是“发现一个漏洞”。详细的复现步骤像写教程一样一步一步引导安全团队复现漏洞。必须包括前置条件需要什么账号、权限。每一步操作点击哪里输入什么发送什么HTTP请求。必须提供完整的HTTP请求和响应原始数据从Burp中复制并隐藏敏感信息如真实Token。这是最重要的部分。截图/视频关键步骤的截图或录制一个简短的GIF/视频。影响说明客观阐述这个漏洞可能造成的实际危害。是信息泄露、账户接管、还是资金损失结合业务场景说明。修复建议提供具体、可行的修复方案。例如“建议在/api/admin/users端点添加基于角色的权限校验确保只有admin角色的用户才能访问。” 这体现了你的专业性。分类与严重性根据平台的分类标准如CVSS评分或通用标准给出你认为的严重性等级Critical, High, Medium, Low。要客观避免夸大。12.2 避免报告被拒绝或降级的坑确保在授权范围内测试仔细阅读目标的security.txt、/.well-known/security.txt或赏金计划的规则。不要测试不在范围内的子域名、第三方服务或生产数据库。避免破坏性测试严禁使用自动化扫描器进行主动扫描除非明确允许严禁进行DoS攻击严禁修改、删除其他用户的数据即使为了证明漏洞也要使用自己的测试账号。不要报告低危或存疑问题例如缺少Secure或HttpOnly标志的Cookie除非能直接导致会话劫持、点击劫持除非能构造出有实际危害的利用、不重要的信息泄露如服务器版本号除非该版本存在可利用的公开漏洞。一次一报归类清晰如果一个功能点存在多个类似漏洞如多个API端点都存在IDOR可以合并到一个报告中但必须清晰列出所有受影响的端点。不要拆分成多个报告刷数量。耐心沟通报告提交后可能会有来回的沟通。保持专业、礼貌、耐心。如果报告被标记为“Informative”信息性或“Not Applicable”不适用仔细阅读原因这本身也是学习的过程。漏洞赏金是一场需要技术、耐心和智慧的持久战。这十个技巧是一个强大的起点但真正的精通源于持续的学习、大量的实践和不断的复盘总结。从今天起选择一个合适的公开目标带着这套方法论开始你的第一次“狩猎”吧。记住最重要的不是工具而是你思考问题的方式。
1. 项目概述从赏金猎人视角看Web应用安全如果你对网络安全感兴趣或者想通过合法途径赚取一笔可观的额外收入那么“Bug Bounty”漏洞赏金这个词你一定不陌生。它早已不是极客圈的小众游戏而是演变成了一个成熟的、全球化的安全生态。简单来说就是企业或组织公开悬赏邀请安全研究人员我们通常自称“猎人”在其授权的范围内寻找并报告安全漏洞并根据漏洞的严重程度支付奖金。这听起来很酷对吧但现实是每天有成千上万的新手涌入HackerOne、Bugcrowd这些平台却常常在提交了数十个无效报告后颗粒无收最终黯然离场。问题出在哪里核心在于缺乏一套高效、系统且经过实战验证的漏洞发现方法论。今天我们不谈空洞的理论也不罗列那些你早已在OWASP Top 10里看腻的漏洞定义。我将结合自己多年在各大赏金平台“狩猎”的经验聚焦于Web应用安全为你拆解10个能真正帮你快速定位高危漏洞的实战技巧。这些技巧不是孤立的工具使用而是一套从信息收集到漏洞验证的完整思维框架和操作流程。无论你是正在备战“2025年全国大学生软件测试大赛Web应用测试省赛”的学生还是苦恼于如何将Claude Code Agent这类AI组件安全集成到自家应用的开发者亦或是担心自己项目是否存在类似“CVE-2023-44487”HTTP/2快速重置攻击或“CVE-2026-4800 – Lodash安全漏洞”隐患的工程师这套方法都能为你提供直接的、可操作的思路。我们的目标很明确绕过那些华而不实的表面扫描直击漏洞核心让你的每一次测试都有的放矢。2. 狩猎前的准备构建高效测试环境与思维模式在扣动扳机之前优秀的猎人必须熟悉自己的武器并了解猎场的环境。直接对着目标网站乱试一通不仅是低效的在某些情况下还可能违反规则导致账号被封禁。2.1 核心工具链配置与协同工欲善其事必先利其器。但工具不在于多而在于精和协同。我的主力工具链通常由以下几部分组成代理与流量拦截器Burp Suite Professional / OWASP ZAP这是你的“手术刀”和“显微镜”。Burp Suite的Repeater、Intruder、Scanner模块是手动和自动化测试的核心。务必熟练使用其项目级配置特别是Target作用域设置确保你的所有流量只流向授权测试的目标避免误操作。对于初学者OWASP ZAP是一个功能强大且免费的开源替代品。浏览器与插件生态主浏览器Chrome/Firefox需要配置一套插件。Cookie编辑器用于快速查看、编辑和操纵会话Cookie测试权限绕过时不可或缺。Wappalyzer / BuiltWith快速识别目标使用的技术栈如前端框架Vue 2.0/3.0、后端服务器Nginx/F5、JavaScript库Lodash版本等。这能帮你快速联想相关历史漏洞比如看到Lodash就要立刻想到其历史上的一系列原型污染漏洞CVE-2021-23337等并针对性测试。Hack-Tools集合了多种实用小工具如编码解码、哈希计算、Payload生成等。浏览器开发者工具这本身就是最强大的工具之一。重点关注Network面板分析所有请求响应、Console面板查看前端错误、执行JavaScript、Sources面板调试前端源码和Application面板查看存储的Cookies、LocalStorage等。侦察与信息收集套件Subfinder / Amass / Assetfinder用于子域名枚举目标是尽可能扩大攻击面。httpx / httprobe快速验证枚举出的域名/子域名是否存活并获取标题、状态码、Web服务器等信息。waybackurls / gau从历史档案如Wayback Machine和当前内容中提取目标的所有已知URL和参数这是发现隐藏接口的宝藏。ffuf / gobuster目录和文件暴力破解工具用于发现未链接的敏感文件如/admin,/backup.zip,/config.php。专项测试工具sqlmap自动化SQL注入检测但在赏金项目中需谨慎使用避免对生产环境造成压力。最好在本地或测试环境复现后使用其--dump等高级功能。XSStrike专注于检测和利用跨站脚本XSS漏洞其模糊测试引擎比简单Payload投放更智能。nuclei基于模板的漏洞扫描器社区有大量现成模板CVE漏洞、配置错误等。你可以用它快速扫描目标是否存在已知的、公开的漏洞例如针对特定版本的Nginx或F5的漏洞检测模板。注意工具自动化扫描特别是nuclei、sqlmap的主动扫描模式在公共赏金项目中要极其克制。许多平台明确禁止主动扫描因其可能对服务造成拒绝服务DoS影响。始终以“低且慢”的手动测试为主自动化仅用于信息收集和辅助验证。2.2 确立正确的测试思维假设与验证工具是手臂思维才是大脑。在开始测试前建立以下思维模式“一切皆输入一切皆输出”所有用户可控的数据点都是潜在的输入点URL参数、表单字段、HTTP头、文件上传、WebSocket消息等。所有在响应中返回的、被浏览器解析的数据都是输出点。漏洞就发生在对“输入”的处理不当导致在“输出”时产生非预期行为。“权限边界是黄金区”最严重的漏洞往往出现在权限控制失效的地方。时刻思考“如果我是一个低权限用户甚至未登录用户我能否执行高权限操作如访问他人数据、修改系统配置”“旧代码、新功能、第三方依赖是重灾区”遗留系统往往安全更新不及时新上线的功能可能未经充分安全评审而引入的第三方库如lodash、jQuery和组件如Claude Code Agent可能自带安全风险。你的信息收集阶段就要锁定这些目标。“上下文比Payload更重要”一个在script标签里成功的XSS Payload在HTML属性里可能完全无效。理解输入被嵌入的上下文HTML正文、属性、JavaScript字符串、CSS等是构造有效攻击的前提。3. 技巧一深度信息收集——绘制你的攻击地图很多人轻视信息收集觉得就是跑跑子域名枚举。实际上这是决定你狩猎成功率超过50%的关键阶段。你的目标是绘制一张尽可能详细的“攻击地图”。3.1 超越基础枚举资产发现与关联子域名枚举与筛选使用工具组合如subfinder -d target.com | httpx -status-code -title获取存活子域。不要只看*.target.com还要关注其可能收购的子公司域名、使用的云服务商域名如*.s3.amazonaws.com,*.cloudfront.net以及开发/测试环境dev.,staging.,test.。这些边缘系统往往防护更弱。历史数据挖掘使用waybackurls target.com | grep ““ | qsreplace “test”这类命令可以从历史快照中提取带有参数的URL并自动将参数值替换为测试值。这能发现大量已从当前主站移除但后端接口依然可用的“幽灵端点”。JavaScript文件分析现代Web应用尤其是Vue、React等SPA的核心逻辑和API端点常打包在JS文件中。用工具如katana -u https://target.com -js-crawl爬取所有JS文件然后手动或用脚本如LinkFinder从中提取新的端点/api/v1/user/、子域名、API密钥模糊正则匹配和硬编码的秘密。这是发现“隐藏API”的绝佳方式。第三方依赖与组件识别通过Wappalyzer识别前端框架、JS库。访问/package.json、/composer.json等文件如果存在获取精确版本。然后立刻去搜索这些版本存在的已知CVE。例如发现Lodash版本低于4.17.21就可以直接尝试原型污染漏洞。对于“claude code agent”这类AI组件要研究其官方文档和GitHub issues看是否有已知的安全配置建议或漏洞报告。3.2 构建个性化侦察工作流不要手动执行每一步。将上述过程脚本化。一个简单的Bash或Python脚本可以自动化子域名发现 - 存活验证 - 截图 - 端口扫描对非Web服务 - 从JS中提取端点 - 使用nuclei进行基础漏洞扫描仅使用低危模板。这样你每天可以同时侦察多个目标筛选出最有潜力的进行深度手动测试。实操心得在信息收集阶段我习惯创建一个OneNote或Obsidian页面为每个目标建立档案。将发现的资产、技术栈、可疑端点、凭据如测试账号都记录在内。在后续测试中不断交叉引用往往能发现逻辑漏洞。例如在A子域发现的用户ID格式可能在B子域的API中通用。4. 技巧二参数污染与服务器端注入漏洞挖掘SQL注入和命令注入等高危漏洞在如今框架普及的情况下虽有所减少但远未绝迹且常出现在非标准的位置。4.1 拓宽“参数”的边界不要只盯着URL查询字符串?id1和POST表单。将以下所有点都视为参数进行测试HTTP请求头X-Forwarded-For,User-Agent,Referer,Cookie除了会话标识其他自定义Cookie值、Host。尝试注入SQL片段、HTML或命令分隔符。文件名与文件路径上传功能中的文件名、通过参数传递的文件路径如/download?file../../etc/passwd。JSON/XML请求体深入测试JSON中的每一个键值对。有时应用会对username进行过滤但忽略了嵌套在profile.address里的字段。GraphQL查询如果目标使用GraphQL这是一个巨大的测试面。通过内省查询获取架构然后针对每个字段和参数进行注入测试。GraphQL的批量查询和嵌套查询特性容易导致资源耗尽DoS和逻辑漏洞。4.2 基于响应的差异化测试Diffing这是手动发现注入漏洞SQLi、NoSQLi、模板注入SSTI的核心技巧。使用Burp Repeater发送一个包含正常参数值的基准请求保存响应。修改参数注入一个能引发“错误状态”的Payload例如SQLi:1 AND 121 AND SLEEP(5)NoSQLi:{$ne: }{$gt: }SSTI:{{7*7}}${7*7}% 7*7 %发送请求将新响应与基准响应进行逐字对比。关注HTTP状态码变化从200变成500内部服务器错误这可能直接暴露了SQL错误。响应时间差异使用了SLEEP()或BENCHMARK()的Payload是否导致响应明显变慢如从50ms增加到5000ms这是盲注的强烈信号。响应内容差异错误信息中是否包含数据库类型MySQL, PostgreSQL、堆栈跟踪可能暴露框架信息或者数学表达式{{7*7}}被计算成了49并输出响应长度差异即使页面看起来一样长度是否变化可能一个查询返回了空结果集。注意事项对于时间盲注Burp的Intruder工具可以设置Grep - Extract来捕获响应时间并配合Columns设置显示Response received时间差从而自动化识别延迟。但务必设置合理的线程和延迟避免DoS。5. 技巧三现代XSS攻击面与绕过技巧XSS依然是赏金计划中的常客但传统的scriptalert(1)/script几乎在所有WAF面前都会失效。我们需要更精巧的方法。5.1 寻找非常规的输入输出点客户端模板渲染如果目标使用Vue.js特别是Vue 2注意v-html指令或未过滤的{{ }}插值。虽然Vue默认对插值进行HTML转义但如果开发者在v-html中直接绑定用户数据就会导致XSS。测试时可以尝试注入img srcx onerroralert(1)。动态JavaScript执行寻找如eval()、setTimeout()、setInterval()、Function()构造函数或innerHTML中拼接了用户输入的地方。例如scriptvar userInput ‘[可控点]’; eval(‘console.log(“’ userInput ‘“)’);/script你可以尝试闭合字符串并执行代码”);alert(1);//。基于DOM的XSSDOM-XSS这种XSS的源头Source和汇点Sink都在浏览器端不涉及服务器响应。常见Source包括document.location.*(hash, pathname, search)、document.referrer、window.name、postMessage。常见Sink包括innerHTML、outerHTML、document.write()、eval()。使用浏览器的开发者工具在Sources面板设置断点跟踪用户输入如何从Source流向Sink。JSONP端点与回调函数一些老式API支持JSONP通过callback参数指定回调函数名。如果这个参数未过滤可以注入恶意函数名callbackalert(1);//导致响应变为alert(1);//({...})从而执行XSS。5.2 绕过过滤与WAF的实用Payload编码与混淆HTML实体编码-lt;但某些上下文可能双重解码。JavaScript Unicode转义alert(1)-\u0061\u006c\u0065\u0072\u0074(1)。利用String.fromCharCode()alert(1)-eval(String.fromCharCode(97,108,101,114,116,40,49,41))。利用HTML标签和事件属性的多样性WAF规则库可能只覆盖了常见标签。尝试一些生僻但有效的标签和事件标签svg onloadalert(1)details ontogglealert(1)需要用户交互input onfocusalert(1) autofocus。事件onpointerenteronloadstartonanimationend。协议与伪协议在a href或iframe src中尝试javascript:伪协议的各种变体JaVaScRiPt:alert(1)javascriptcolon;alert(1)HTML实体或者利用data:协议iframe srcdata:text/html,scriptalert(1)/script。6. 技巧四逻辑漏洞的“上帝视角”测试逻辑漏洞是赏金猎人的“圣杯”因为它们通常危害大、难以被自动化工具发现且赏金丰厚。测试逻辑漏洞需要你像产品经理和开发者一样思考业务流程。6.1 业务流篡改与顺序绕过多步骤流程的跳过在注册、下单、支付等多步骤流程中尝试直接访问最终步骤的URL或调用最终步骤的API绕过前面的验证如身份验证、库存检查、优惠券校验。使用Burp的Proxy - HTTP history仔细分析每一步的请求尝试打乱顺序或跳过中间步骤。参数篡改与越权水平越权将请求中的用户ID、订单号、文件ID等标识符修改为其他用户的。例如GET /api/orders/12345 尝试改为/api/orders/12346。这需要你先拥有两个测试账号A和B用A的凭证去访问B的资源。垂直越权低权限用户尝试访问高权限功能。例如普通用户尝试访问/admin目录或调用POST /api/admin/createUser接口。关注Cookie、Token或请求头中是否存在roleuser这样的字段尝试修改为roleadmin。数量与价格操纵在购物车、积分兑换等场景拦截修改数量参数为负数quantity-1看是否会增加余额或库存修改单价参数price0.01或总额参数total_amount1在HTTP参数污染中多次提交同一参数coupon_codeFREE100coupon_code50OFF看后端如何处理是否可能叠加优惠。6.2 竞争条件漏洞挖掘这类漏洞发生在并发处理共享资源时由于时序问题导致状态异常。经典案例是“并行抢购导致超卖”或“并行充值导致余额倍增”。测试方法使用Burp Suite的Turbo Intruder扩展社区版可用或Intruder的Pitchfork攻击类型配合多线程。实战场景充值漏洞假设有一个“兑换积分”功能请求A用10元兑换100积分。你同时发送100个相同的请求使用同一个会话。如果后端逻辑是“检查余额扣款增加积分”且没有加锁可能导致只扣了一次10元却增加了100次100积分。邀请奖励漏洞邀请新用户注册邀请人获得奖励。同时并发多个“确认邀请”的请求可能导致获得多次奖励。操作要点在Turbo Intruder中你需要编写一个简单的Python脚本来定义请求和并发逻辑。核心是让所有请求在极短时间内毫秒级同时发出。7. 技巧五文件上传漏洞的深入利用文件上传功能是获取服务器权限的捷径但防护也日益严格。我们需要多角度尝试。7.1 绕过前端与后端验证前端绕过直接使用Burp拦截上传请求修改文件名和内容绕过JavaScript的文件类型检查。黑名单绕过如果后端禁止.php,.jsp等尝试大小写.Php,.PHP双扩展名.php.jpg,.php.png可能被解析为PHP尾部空格/点.php..php在Windows系统中可能被去除特殊字符.php%00.jpg空字节截断在特定环境下有效非常规扩展名.phtml,.phps,.php5,.php7取决于服务器配置内容类型Content-Type绕过拦截请求将Content-Type: image/jpeg修改为Content-Type: text/php或application/x-php。文件内容与幻数绕过服务器可能检测文件头Magic Bytes。对于图片马可以在真实的图片文件开头或末尾追加PHP代码如GIF89a; ?php phpinfo(); ?。也可以尝试用Exif工具将PHP代码写入图片的元数据中。7.2 结合服务器解析特性与目录穿越服务器解析漏洞了解目标服务器Nginx, Apache, IIS的特定版本是否存在解析漏洞。例如历史上有IIS6.0的/xx.asp;.jpg目录解析漏洞Nginx的某些错误配置导致/test.jpg/.php被解析为PHP。路径遍历结合上传如果上传功能允许指定存储路径或从参数中读取文件路径尝试目录遍历filename../../../var/www/html/shell.php。或者上传到可访问的临时目录再通过文件包含漏洞LFI来执行它。二次渲染绕过一些应用如头像上传会对图片进行压缩或裁剪二次渲染。这会使嵌入在像素数据中的代码失效。此时需要研究渲染算法的弱点精心构造一个经过渲染后依然能保持恶意代码有效的图片文件这需要较深的二进制文件格式知识。8. 技巧六不安全的直接对象引用与访问控制缺失IDOR不安全的直接对象引用是越权漏洞中最常见的一种本质是服务器在提供资源时未验证当前用户是否有权访问该资源ID。8.1 系统化发现IDOR不要随机猜测ID。建立一个方法论枚举资源ID格式通过正常操作收集你账户下的各种ID用户IDuid1001、订单号order_id20250321123456、文档IDfile_idabc123def、消息IDmsg_id789。观察它们的格式是自增数字UUID哈希值测试可预测性自增数字最简单直接1/-1测试。UUID看似随机但如果是v1版本基于时间戳和MAC地址可能有一定规律或者应用在其他地方如列表页泄露了其他用户的UUID。哈希/编码ID尝试对已知ID进行解码Base64, Hex等。有时ID只是经过简单编码的原始数字。扩大测试范围IDOR不仅存在于/api/user/[id]。检查所有接收ID参数的端点/api/download/[file_id],/api/delete/[post_id],/api/change_email/[user_id] 甚至是/api/logs?user_id[id]。8.2 高级IDOR与间接引用批量IDOR如果有一个接口支持通过数组ID批量获取资源如POST /api/get_profiles {“user_ids”: [1001, 1002, 1003]}尝试加入未授权的ID。基于其他参数的IDOR权限控制有时不基于ID而是基于其他参数。例如GET /api/company/[company_id]/employees 通过修改company_id来访问其他公司的员工列表。即使你无法直接访问/api/company/[other_company_id]但这个“嵌套资源”接口可能存在漏洞。POST请求中的IDORIDOR不仅存在于GET请求。在修改、删除操作的POST/PUT/DELETE请求中同样要检查Body中的ID参数。实操心得我习惯在Burp中将我的测试账号低权限和目标账号高权限或其他用户的所有请求都记录下来。然后使用Burp的Compare功能对比同一个功能点如查看个人资料两个账号的请求差异。除了ID不同有时还会发现一些用于权限校验的隐藏HTTP头或Cookie这为进一步的越权测试提供了线索。9. 技巧七服务器端请求伪造漏洞的利用链构建SSRF允许攻击者诱使服务器向任意内部或外部网络发起请求。它的危害远超读取本地文件可以用于攻击内网服务、绕过防火墙。9.1 发现SSRF潜在点寻找任何服务器会根据用户输入发起网络请求的功能网页截图/预览功能输入URL服务器去抓取文件导入功能从远程URL导入Webhook配置服务器会向配置的URL发送回调文档转换/处理服务社交媒体链接预览内部使用的“获取远程文件”API9.2 利用技巧与协议拓展探测内网与端口扫描利用SSRF作为代理探测服务器所在内网的存活主机和开放端口。使用Burp Collaborator或类似工具如interact.sh来接收带外OOBDNS/HTTP请求以确认漏洞存在并盲测端口。Payload:http://169.254.169.254/latest/meta-data/AWS元数据服务Payload:http://192.168.0.1:8080尝试常见内网IP和端口使用file://协议读取本地文件file:///etc/passwd利用非HTTP协议许多SSRF漏洞的利用依赖于后端使用的库如curl、requests支持的协议。file://读取服务器本地文件。dict://可以用于探测端口甚至与Redis、Memcached等服务交互如果它们未授权访问。例如dict://attacker:6379/info可能向你的服务器6379端口发送INFO命令。gopher://一个非常强大的协议可以构造原始的TCP数据包用于攻击内网的Redis、MySQL、FastCGI等服务甚至可以直接获取Shell。这是SSRF利用的高级阶段。ldap:///ldaps:///tftp://攻击内部的其他服务。绕过过滤与黑名单IP地址编码2130706433是127.0.0.1的十进制表示。0x7f000001是十六进制。0177.0.0.1是八进制。127.1等价于127.0.0.1。利用DNS解析将恶意IP绑定到自己的域名如evil.com的A记录指向192.168.1.1。或者使用xip.io这类服务127.0.0.1.xip.io解析到127.0.0.1。URL跳转与重定向如果目标服务器允许跟随重定向可以先提供一个指向内网地址的302重定向URL。例如你控制的https://attacker.com/redirect返回一个Location: http://169.254.169.254/的响应头。片段标识符#与问号?有时过滤逻辑在#或?之前。尝试http://evil.com169.254.169.254#attacker.com或http://attacker.com/?urlhttp://169.254.169.254。10. 技巧八配置错误与信息泄露的自动化筛查许多严重漏洞源于错误的配置而非代码缺陷。这些往往可以通过系统化的检查发现。10.1 常见配置错误检查清单HTTP安全头缺失使用curl -I或浏览器插件检查Content-Security-Policy缺失或配置不当会导致XSS缓解失效。Strict-Transport-Security缺失可能导致SSL剥离攻击。X-Frame-Options/Content-Security-Policy: frame-ancestors缺失可能导致点击劫持。X-Content-Type-Options: nosniff缺失可能导致MIME类型混淆攻击。Referrer-Policy缺失可能导致敏感URL通过Referrer泄露。错误的CORS配置检查Access-Control-Allow-Origin头。如果其值为*通配符并且接口涉及敏感数据或操作则存在风险。更危险的是如果Access-Control-Allow-Credentials: true且Origin头被反射或校验不严可能导致 credentialed 请求被跨域读取。敏感文件与目录泄露暴力破解常见备份、配置、版本控制文件.git/,.svn/,.DS_Store,robots.txt,sitemap.xml,web.config,.env,config.php,backup.zip,dump.sql。检查/admin,/phpmyadmin,/wp-admin,/console等常见管理后台路径。云存储桶配置错误对于使用AWS S3、Google Cloud Storage、Azure Blob的服务其存储桶Bucket可能被配置为“公开可读”甚至“公开可写”。工具如awscli、s3scanner或在线扫描器可以帮助发现。URL模式通常为https://[bucket-name].s3.[region].amazonaws.com/。10.2 利用自动化工具进行初筛对于配置错误和信息泄露可以安全地使用自动化工具进行广谱扫描作为手动测试的补充。nuclei使用其庞大的社区模板库可以快速扫描目标是否存在缺失的安全头、暴露的.git目录、默认凭据、特定版本的已知漏洞如你提到的F5 Nginx漏洞CVE-2023-44487等。运行命令如nuclei -u https://target.com -severity medium,high,critical。nikto经典的Web服务器扫描器能识别服务器类型、过期版本、潜在的危险文件等。自定义脚本写一个简单的Python脚本使用requests库批量检查上面提到的安全头、敏感路径和文件。注意事项即使自动化工具扫描出疑似漏洞如.git目录暴露也必须进行手动验证。因为工具可能报告误报例如返回403状态码的.git目录通常不可访问。手动验证包括尝试访问/.git/HEAD文件如果返回ref: refs/heads/master等内容则确认泄露然后可以使用git-dumper这类工具尝试下载整个仓库源码。11. 技巧九API安全测试——GraphQL与RESTful的独特风险现代应用前后端分离API成为主要攻击面。RESTful API和GraphQL各有其测试重点。11.1 RESTful API深度测试认证与授权绕过Token处理不当删除Authorization头或使用无效Token看是否返回401/403。有时删除后反而能匿名访问认证缺失。尝试将低权限用户的Token用于高权限端点。JWT篡改如果使用JWT将其解码在 jwt.io 尝试修改alg为none如果支持或修改payload中的role字段然后重新签名如果密钥强度弱或泄露。批量操作与速率限制缺失测试创建、更新、删除资源的接口是否支持批量操作通过JSON数组并检查是否对操作数量进行限制。例如POST /api/users传入一个包含1000个用户对象的数组可能导致资源耗尽。同时检查接口是否有速率限制防止暴力破解。不安全的HTTP方法使用OPTIONS方法探测API支持的HTTP方法。尝试PUT,PATCH,DELETE等方法看是否在未授权的情况下可对资源进行修改或删除。11.2 GraphQL API攻击面GraphQL的灵活性带来了独特的安全挑战。内省查询默认情况下GraphQL端点允许内省查询即通过查询__schema获取完整的类型、查询和变更定义。这相当于一份详细的API地图。发送一个标准的 introspection query 即可获取。拒绝服务攻击深度嵌套查询利用GraphQL的嵌套关系构造一个极其深的查询例如{ user { posts { comments { author { posts { ... } } } } }可能导致服务器递归解析时资源耗尽。批量查询通过别名alias在单个请求中发送大量查询{ alias1: heavyQuery, alias2: heavyQuery, ..., alias100: heavyQuery }。防御建议服务器应设置查询深度限制、复杂度限制和令牌超时。信息泄露即使查询需要认证错误信息有时也会泄露敏感信息。尝试构造错误的查询观察返回的错误信息是否包含堆栈跟踪、数据库错误或内部字段名。突变操作测试像测试RESTful API一样测试GraphQL的mutation操作关注权限控制和业务逻辑漏洞。12. 技巧十漏洞报告的艺术——从发现到赏金找到漏洞只是成功了一半。一份清晰、专业、可复现的报告是获得赏金和建立声誉的关键。12.1 编写高质量报告的核心要素清晰的标题一句话概括漏洞本质和影响。例如“[目标域名] - 通过未授权访问/api/admin/users端点导致用户信息泄露”而不是“发现一个漏洞”。详细的复现步骤像写教程一样一步一步引导安全团队复现漏洞。必须包括前置条件需要什么账号、权限。每一步操作点击哪里输入什么发送什么HTTP请求。必须提供完整的HTTP请求和响应原始数据从Burp中复制并隐藏敏感信息如真实Token。这是最重要的部分。截图/视频关键步骤的截图或录制一个简短的GIF/视频。影响说明客观阐述这个漏洞可能造成的实际危害。是信息泄露、账户接管、还是资金损失结合业务场景说明。修复建议提供具体、可行的修复方案。例如“建议在/api/admin/users端点添加基于角色的权限校验确保只有admin角色的用户才能访问。” 这体现了你的专业性。分类与严重性根据平台的分类标准如CVSS评分或通用标准给出你认为的严重性等级Critical, High, Medium, Low。要客观避免夸大。12.2 避免报告被拒绝或降级的坑确保在授权范围内测试仔细阅读目标的security.txt、/.well-known/security.txt或赏金计划的规则。不要测试不在范围内的子域名、第三方服务或生产数据库。避免破坏性测试严禁使用自动化扫描器进行主动扫描除非明确允许严禁进行DoS攻击严禁修改、删除其他用户的数据即使为了证明漏洞也要使用自己的测试账号。不要报告低危或存疑问题例如缺少Secure或HttpOnly标志的Cookie除非能直接导致会话劫持、点击劫持除非能构造出有实际危害的利用、不重要的信息泄露如服务器版本号除非该版本存在可利用的公开漏洞。一次一报归类清晰如果一个功能点存在多个类似漏洞如多个API端点都存在IDOR可以合并到一个报告中但必须清晰列出所有受影响的端点。不要拆分成多个报告刷数量。耐心沟通报告提交后可能会有来回的沟通。保持专业、礼貌、耐心。如果报告被标记为“Informative”信息性或“Not Applicable”不适用仔细阅读原因这本身也是学习的过程。漏洞赏金是一场需要技术、耐心和智慧的持久战。这十个技巧是一个强大的起点但真正的精通源于持续的学习、大量的实践和不断的复盘总结。从今天起选择一个合适的公开目标带着这套方法论开始你的第一次“狩猎”吧。记住最重要的不是工具而是你思考问题的方式。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
