1. 项目概述：从“撞大运”到“体系化”的跃迁

在漏洞赏金的世界里，HackerOne和BugCrowd无疑是两座绕不开的丰碑。对于很多刚入行的朋友来说，面对平台上动辄成千上万个项目，最常见的做法就是“广撒网”——用自动化工具扫一遍所有公开的域名，看看哪个能出点动静。这种方法在早期或许能捡到一些低垂的果实，但到了2025年，随着企业安全意识的普遍提升和自动化防御的普及，这种“撞大运”式的挖掘方式效率已经急剧下降。你会发现，花费大量时间扫描的域名，要么是早已被其他猎人翻了个底朝天的“盐碱地”，要么就是防护严密、难以切入的“铁桶阵”。

我所说的“私密方法论”，核心并非指什么不可告人的黑科技，而是一套将公开情报收集、攻击面测绘、目标优先级排序和深度手工测试结合起来的体系化工作流。它的“私密性”在于，这套流程高度依赖个人对信息的解读、对目标业务逻辑的理解以及持续积累的测试经验，很难被完全自动化替代。简单来说，它教你如何从海量的公开域名中，像老猎人一样，精准地找到那些最肥美、最有可能存在漏洞的“猎物”，而不是在荒漠里盲目开枪。这不仅仅是技术，更是一种策略和思维模式。

2. 核心思路拆解：构建你的“目标画像”与“攻击路径”

在开始任何技术操作之前，清晰的思路是成功的基石。传统的漏洞挖掘往往始于一个域名，终于一个漏洞报告。而体系化的方法，要求我们首先构建目标的“立体画像”，并规划出多条可能的“攻击路径”。

2.1 超越子域名枚举：理解企业的数字资产脉络

一提到域名漏洞挖掘，很多人第一反应就是子域名枚举。这没错，但远远不够。一个成熟企业的线上资产是立体的，包括：

• 核心业务域名：通常是其主品牌网站、用户登录入口、API网关等。这些目标防护最强，但价值也最高。
• 历史遗留资产：在并购、业务调整中产生的旧系统、测试环境、临时活动页面。这些往往是安全团队的盲点。
• 第三方依赖资产：企业使用的SaaS服务（如客服系统、邮件营销平台）、云存储桶、CDN边缘节点、合作伙伴的集成接口。这些资产可能不在企业直接管理的域名下，但一旦被攻破，同样能对企业造成严重影响。
• 关联品牌与子公司资产：大型集团往往拥有多个品牌和子公司，它们之间可能存在共享的认证体系或内部接口。

我们的目标不是找到“所有”域名，而是找到那些处于“关键路径”上、且可能存在“安全间隙”的域名。例如，一个为市场营销活动临时搭建的campaign2024.example.com，其代码质量和安全配置，很可能远低于经过严格审计的www.example.com。

2.2 优先级排序模型：将时间用在刀刃上

面对枚举出的数百甚至上千个资产，如何决定先测试哪个？这就需要建立一个简单的优先级排序模型。我通常从三个维度进行评分：

1. 资产价值（Impact）：

   • 高价值：包含用户敏感数据（PII）、支付功能、管理员后台、核心API接口的域名。
   • 中价值：企业展示页面、博客、文档中心。这些通常作为入口点，用于信息收集或组合攻击。
   • 低价值：纯静态页面、已被弃用的着陆页。

2. 暴露面与攻击难度（Likelihood）：

   • 易攻击：使用已知存在漏洞的框架或组件（如旧版WordPress、Struts2）、配置错误（如目录列表开启、调试信息泄露）、部署在非主流或安全记录较差的云服务商。
   • 难攻击：使用WAF/防火墙、具备严格的速率限制和监控、采用最新的安全框架和协议。

3. “新鲜度”与活跃度（Freshness）：

   • 新近解析的域名、证书刚更新的域名、近期有代码提交记录的Git仓库对应的域名，往往比沉寂多年的老域名更有测试价值。安全团队可能还没来得及对其进行全面加固。

你可以为每个维度设定一个权重（例如，价值:5，难度:3，新鲜度:2），对每个域名进行粗略打分。分数最高的，就是你应该优先投入手工精力的目标。这个模型不需要非常精确，它的目的是帮你把最宝贵的注意力资源，从“扫射”转向“点射”。

3. 深度信息收集与攻击面测绘实战

有了清晰的思路，我们进入实操环节。信息收集的深度和广度，直接决定了后续测试的效率和成功率。

3.1 自动化资产发现与聚合

手工收集效率太低，我们需要借助工具链。但切记，工具是为你服务的，而不是让你成为工具的奴隶。我的常用组合与流程如下：

1. 初始种子收集：

   • 从赏金平台页面提取：仔细阅读HackerOne/BugCrowd项目描述、范围（Scope）文档。除了明确的*.example.com，留意是否有提及移动应用（可提取API域名）、合作伙伴域名、收购的品牌等。有时，out of scope里列出的资产，反而暗示了其存在。
   • 证书透明度日志：使用crt.sh等网站或certspotter工具，通过企业名称或主域名，查询其所有已签发证书的域名。这是发现测试环境、内部工具域名的宝库。
   • 历史DNS记录：利用SecurityTrails,ViewDNS等平台，查看域名的历史A记录、MX记录、NS记录。你可能会发现一些已下线但DNS记录还未清除的旧IP，这些IP上可能运行着其他未被发现的资产。

2. 自动化枚举与爬取：

   • 子域名枚举：subfinder,amass,assetfinder是主流选择。我建议同时运行多个工具，因为它们的源不同，结果会有互补。然后将结果去重合并。一个关键技巧是使用amass的-passive模式进行初步枚举，再用-active模式（会发送流量）进行验证和深度发现，避免过早惊动目标。
   • 内容爬取与截图：对发现的域名和子域名，使用httpx或httprobe快速探测存活和状态码。对于存活的Web服务，立即使用gowitness或aquatone进行截图。可视化截图能帮你快速识别出登录页面、管理后台、错误页面、默认应用（如Jenkins, Confluence）等关键目标，效率远高于看URL列表。
   • 端口与服务扫描：不要只盯着80/443端口。使用naabu或masscan进行快速全端口扫描，再用nmap对开放端口进行服务识别和脚本扫描。你可能在8080端口发现一个未授权访问的API管理界面，或在8443端口发现一个旧版本的Tomcat管理台。

3. 情报关联与聚合： 将以上所有数据（域名、IP、端口、服务、截图、证书信息）导入到一个平台进行关联分析。SpiderFoot是一个强大的自动化OSINT收集框架。但我个人更习惯使用自定义脚本，将数据整理成CSV或导入到Notion/Obsidian中，手动建立链接。例如，发现多个子域名指向同一个IP段，可能意味着它们共享底层基础设施，存在共同的漏洞风险。

3.2 关键信息深度挖掘

自动化完成后，针对高优先级目标，需要进行手工深度挖掘。

1. 源代码与仓库监控：

   • 在GitHub, GitLab, Bitbucket上搜索目标公司的代码仓库。关键词可以是公司名、域名、项目名。关注.git目录泄露、硬编码的API密钥、数据库凭证、内部服务地址等。
   • 使用gitleaks等工具对找到的仓库进行敏感信息扫描。但更重要的是人工审查最近几次的提交记录。开发人员为了快速修复问题，有时会引入安全风险更高的临时代码。

2. JavaScript文件分析： 现代Web应用大量逻辑写在JS中。使用浏览器开发者工具或Burp Suite的Content Discovery功能，收集所有引用的JS文件。然后：

   • 搜索关键词：api,endpoint,url,token,key,secret,password,admin,internal,debug,test。
   • 使用LinkFinder、JSFinder这类工具自动提取其中的接口路径和子域名。
   • 手动分析JS代码逻辑，寻找隐藏的API、未授权的功能点、或客户端的数据处理逻辑漏洞（如逻辑绕过）。

3. 参数与端点发现： 除了常规爬虫，使用以下方法发现隐藏的输入点：

   • 字典爆破：使用ffuf,dirsearch等工具，配合强大的字典（如SecLists中的Discovery/Web-Content），对目录和文件进行爆破。重点不是跑完字典，而是观察响应差异（状态码、长度、内容）。
   • 爬虫解析：使用katana或Burp的爬虫，在已认证的会话状态下爬行，可以发现仅登录后可见的页面和功能。
   • 归档网站：查看Wayback Machine（archive.org）上目标域名的历史快照。你可能会发现已下线但功能仍残存的页面、泄露的测试参数、旧版本的管理入口。

4. 漏洞挖掘实战：从入口点到深度利用

信息收集阶段结束后，你手头应该有一份标注了高优先级目标的资产清单和丰富的上下文信息。现在，真正的狩猎开始。

4.1 初筛与快速测试

不要一上来就想着找复杂的逻辑漏洞。先进行一轮“健康检查”，快速筛选出易攻破的目标。

• 配置错误：检查robots.txt,sitemap.xml,.git/,.env文件泄露。检查云存储桶（AWS S3, GCP Storage）是否可公开列出或写入。检查nginx/Apache配置错误导致的目录遍历或源码泄露。
• 已知漏洞组件：对识别出的Web框架（如Spring Boot Actuator）、CMS（如WordPress插件）、中间件（如Jenkins）进行已知漏洞扫描。使用nuclei模板是一个高效的选择，但务必验证其有效性和对目标的影响，避免误报。
• 默认凭证与弱口令：对发现的登录入口、管理后台（如/wp-admin,/admin,/manager/html）尝试常见的默认凭证和弱口令。别忘了API接口的认证。

4.2 业务逻辑漏洞深度挖掘

这是体现猎人功力的地方，也是高额赏金的来源。它要求你真正理解目标应用是“做什么的”和“怎么做”。

1. 身份认证与授权绕过：

   • 水平越权：修改请求中的ID参数（如user_id=123），尝试访问其他用户的资源。关注所有涉及对象引用的地方。
   • 垂直越权：以普通用户身份，尝试访问仅管理员可见的API端点或功能菜单。有时只需将请求中的role=user改为role=admin，或将GET /api/user/profile改为GET /api/admin/config。
   • 认证状态篡改：仔细检查JWT令牌、Session Cookie或自定义Token。尝试修改其中的字段（如“isAdmin”: false）、重新签名（如果密钥弱）、或使用“none”算法攻击。
   • OAuth/SSO流程滥用：在第三方登录回调过程中，尝试篡改state参数、进行CSRF攻击、或利用重定向URI的不当验证实现账户劫持。

2. 输入处理与注入类漏洞：

   • 广义的“注入”：不要局限于SQL。寻找所有用户输入被后端系统“解析”或“执行”的地方。
     • 模板注入（SSTI）：在用户资料、邮件模板、报告生成等功能点，输入{{7*7}}、${7*7}等测试载荷。
     • 命令注入：在系统管理、文件上传（解压缩）、网络工具（如Ping、Traceroute）等功能中，尝试; whoami、| cat /etc/passwd。
     • XXE：在所有XML解析的地方（文件上传、API请求体、SOAP接口）尝试引入外部实体。
   • 参数污染与不一致：同一个参数在URL、Body、Header中多次出现时，应用如何处理？它可能只验证了其中一个。尝试发送矛盾的值，如Cookie: admin=false;和Body: {“admin”: true}。

3. 业务流程逻辑缺陷：

   • 顺序绕过：比如“验证邮箱->重置密码”流程，能否直接访问第二步的URL？购物流程中的“添加商品->应用优惠券->付款”，能否跳过应用优惠券步骤，但最终金额仍享受了折扣？
   • 负数与溢出：在涉及积分、金额、库存的地方，尝试输入负数、极大值（如999999999）、小数或科学计数法（1e9）。可能导致积分无限增加、零元购或库存溢出。
   • 竞争条件：在抢购、限量优惠券领取、首次注册奖励等场景，使用Burp的Turbo Intruder或自定义脚本并发发送数十个请求，可能绕过数量限制。

4.3 组合攻击与链式利用

单个漏洞可能危害有限，但组合起来威力巨大。

• 信息泄露 + 逻辑漏洞：从一个低危的信息泄露（如ID号枚举）中，获取到其他用户的标识符，再结合水平越权漏洞，就能访问大量用户数据。
• XSS + CSRF：找到一个反射型XSS，但需要用户交互？如果该站点同时存在CSRF漏洞，你可以构造一个页面，诱使管理员访问，该页面会利用CSRF为管理员账户添加一个带有XSS Payload的签名，从而实现存储型XSS。
• 子域名接管 + Cookie作用域：如果你通过CNAME记录接管了一个子域名（如cdn.example.com），而这个子域名与主站example.com共享了父级域名的Cookie（Domain=.example.com），那么你就可以窃取用户在主站上的会话。

5. 工具链配置与效率提升心法

工欲善其事，必先利其器。一个高效、可重复的工作流至关重要。

5.1 个人化工具栈搭建

我不推荐盲目追求“全自动化”。建议搭建一个核心可定制、外围工具可插拔的流水线。

• 编排核心：使用Bash脚本或Python（配合asyncio）编写你的主流程脚本。它的作用是按顺序调用各个工具，处理输入输出，进行初步去重和过滤。
• 资产发现层：subfinder/amass（枚举） ->httpx（探测） ->naabu（端口扫描） ->nuclei（初筛漏洞）。将这些工具的调用和结果解析集成到你的主脚本中。
• 交互分析环境：将最终聚合的资产列表（包含URL、状态码、标题、技术栈）导入到一个可视化工具或数据库中。我常用Elasticsearch+Kibana，但简单的SQLite数据库配合DBeaver查看也完全足够。关键是要能方便地筛选、排序和做标记。
• 代理与测试平台：Burp Suite Professional是手工测试的绝对核心。配置好Project-level和User-level的抓包范围，善用Logger、Comparer、Intruder和Repeater。配合Burp的BApp商店插件，如Autorize（授权测试）、Turbo Intruder（竞争条件）、Collaborator Everywhere（盲注检测），能极大提升效率。

5.2 规避防御与保持低调

在大型、成熟的赏金项目中，你的扫描和测试行为很可能被监控。鲁莽的测试会导致IP被拉黑，甚至被取消测试资格。

• 速率限制：在所有自动化工具中设置延迟（-delay,-rate-limit）。对于手工测试，在Burp中设置Throttle。
• 轮换代理与User-Agent：使用住宅代理IP池（如Bright Data,Oxylabs）来轮换你的出口IP。在请求中随机化User-Agent字符串。
• 理解WAF规则：遇到WAF拦截时，不要一味暴力绕过。先分析拦截模式（是关键字、流量特征还是频率？）。使用ffuf的-mc参数过滤掉被WAF拦截的响应（通常是403、406、419等），或者使用编码、拆分、空白字符插入等技巧进行温和的绕过测试。
• 测试时间选择：如果可能，在目标业务地区的非高峰时段进行自动化扫描。对于手工测试，保持与正常用户相似的行为模式。

6. 报告撰写与沟通技巧

找到漏洞只成功了一半，清晰、专业地报告它才能确保赏金到手。

• 标题明确：直接点明漏洞类型和受影响的功能/资产。例如：“[Critical] Authentication Bypass on/api/v1/admin/usersleads to full account takeover”，而不是“Found a bug”。
• 复现步骤：这是报告的灵魂。必须提供一步步的、可复现的操作指南。从如何登录（提供测试账号），到每一步的请求和响应（附上Burp的curl命令或原始请求包），再到最终漏洞证明（截图或视频）。要假设审核者对你的目标系统一无所知。
• 影响阐述：具体说明这个漏洞能做什么。是能查看任意用户数据，还是能篡改系统配置？最好能提供一个攻击场景（Attack Scenario），让审核者直观感受到危害。
• 修复建议：提供具体、可操作的修复方案。不要只说“加强验证”，而应说“在服务端对user_id参数进行严格的权限校验，确保当前会话用户只能访问属于自己的资源”。
• 沟通态度：保持专业、礼貌。如果审核者要求补充信息或对漏洞有异议，耐心解释你的测试过程和依据。记住，你和平台、企业安全团队是协作关系，共同目标是让产品更安全。

7. 持续学习与心态调整

漏洞赏金是一场马拉松，不是百米冲刺。

• 建立知识库：将每次测试的思路、用的工具、发现的漏洞类型、有趣的绕过技巧，都记录到你的个人Wiki（如Obsidian）中。定期回顾，形成自己的“方法论”。
• 阅读优秀报告：在HackerOne和BugCrowd上，关注那些被评为High/Critical且赏金丰厚的公开报告。学习别人的测试角度和报告写法。
• 专精与广博：初期可以广泛尝试各种漏洞类型，但后期建议选择一两个方向（如逻辑漏洞、API安全）深入钻研，成为专家。同时，对新兴技术（如GraphQL, gRPC, Serverless）的安全风险保持关注。
• 管理预期：你会经历漫长的“空窗期”，提交的报告可能被判定为Informative或Duplicate。这很正常。将每次测试视为学习和提升技能的过程，而不仅仅是获取赏金。保持好奇心、耐心和韧性，是长期在这个领域取得成功的关键心态。