当前位置：首页 > news >正文

SRC漏洞挖掘实战指南：从零构建Web安全测试心智模型与高效工作流

news 2026/6/29 10:06:33

1. 项目概述：从零到一，理解SRC漏洞挖掘的实战价值

如果你对网络安全感兴趣，或者想找一份能带来可观额外收入的副业，那么SRC（安全应急响应中心）漏洞挖掘绝对是一个绕不开的话题。这听起来可能有点技术门槛，但别被吓到，它的核心逻辑其实很直接：你就像一名数字世界的“侦探”或“赏金猎人”，在各大互联网公司、机构公开授权的范围内，寻找他们产品、网站或应用中的安全缺陷（也就是漏洞），然后按照规则提交报告。一旦漏洞被确认有效，你就能获得从几百到几十万不等的现金奖励，以及宝贵的行业认可和积分。这不仅仅是“找Bug”，更是一种将技术能力直接变现的成熟模式。

我接触SRC挖掘有几年了，从最初看着别人的漏洞报告一头雾水，到现在能稳定产出有效漏洞，中间踩过的坑、走过的弯路不计其数。网上很多教程要么过于理论化，要么就是只展示一个成功的“果子”，却不告诉你“树”是怎么种的。这篇内容，我想彻底抛开那些华而不实的套路，把我自己从零基础摸索到形成稳定挖掘思路的全过程，以及那些在实战中真正好用的手法和判断逻辑，进行一次超详尽的拆解。我的目标很简单：让你读完就能建立起一个清晰的、可操作的SRC漏洞挖掘框架，知道第一步该看哪里，遇到问题该怎么想，从而真正踏上这条既能提升技术又能获得回报的路径。

2. SRC漏洞挖掘的核心思路与心智模型构建

很多人一上来就急着学工具、刷漏洞类型，结果往往是东一榔头西一棒子，挖不到东西还很挫败。在我看来，比具体技术更重要的是建立正确的心智模型。你得先理解，你在和谁“对抗”，你的“战场”在哪里。

2.1 理解攻击面：你的“狩猎场”在哪里？

SRC漏洞挖掘，本质上是对一个庞大系统进行有限度的、授权范围内的安全测试。这个系统就是“攻击面”。对于新手，我强烈建议从Web应用和移动端APP入手，因为这两者交互复杂、逻辑点多，是漏洞的富矿。

Web应用攻击面主要包括：

可见的前端接口：所有你能在浏览器开发者工具（F12）的“网络”（Network）标签页里看到的HTTP/HTTPS请求。包括页面加载、按钮点击、表单提交、异步加载（Ajax）等触发的所有数据交互。
隐藏或未公开的接口（API）：通过爬虫、目录扫描、或者分析前端JavaScript代码，可能会发现一些未在页面上直接暴露的API端点。这些往往是安全防护的薄弱环节。
文件与目录：通过目录扫描工具（如dirsearch, gobuster）寻找备份文件（.bak, .old）、配置文件（.git/, .svn/）、管理后台（/admin, /manage）等。
参数与输入点：每个请求中的每一个参数都是潜在的输入点。包括URL参数（?id=1）、POST数据、Cookie、HTTP头（如X-Forwarded-For、User-Agent）。

移动端APP攻击面则稍有不同：

客户端本身：反编译APK/IPA文件，分析源代码、配置文件、硬编码的密钥或接口地址。
通信流量：抓取APP与服务器之间的所有网络请求，分析其API接口、参数和传输数据。这通常能发现与Web端类似甚至相同的漏洞。
本地存储：检查APP在设备上的数据存储（如SharedPreferences、数据库文件），看是否有敏感信息泄露。

注意：在开始任何测试前，务必、反复、仔细阅读目标SRC的漏洞范围、测试规则和免责声明。严禁测试规定范围外的系统（如子公司、未明确授权的第三方服务），严禁进行可能影响业务稳定性的测试（如DDOS、暴力破解）。合规是SRC挖掘的生命线。

2.2 漏洞挖掘的核心思维：突破“开发者假设”

所有漏洞的产生，几乎都源于一个共同点：开发者的假设与现实情况出现了偏差。你的工作就是系统地验证这些假设是否可靠。我总结为以下几个思维方向：

信任边界思维：开发者信任哪些数据？用户输入？HTTP头？Cookie？你的任务就是尝试从这些被信任的通道注入不被信任的数据。例如，开发者假设“User-Agent”头只是用来标识浏览器的，但如果你把它改成一段恶意SQL代码呢？
逻辑顺序思维：业务流程是否有严格的顺序检查？比如，支付流程是否校验了“生成订单->确认订单->付款”每一步的状态？能否跳过“确认订单”直接访问付款接口？这就是典型的“业务逻辑漏洞”。
权限校验思维：每个操作是否都严格校验了执行者的身份和权限？访问/user/123的信息时，是否验证了当前用户就是123？访问/admin/deleteUser时，是否验证了用户是管理员？横向越权（访问同权限其他用户数据）和纵向越权（低权限执行高权限操作）是永恒的主题。
异常处理思维：当系统遇到非预期输入或状态时，会如何反应？是优雅地报错，还是泄露了堆栈信息、数据库错误？异常处理不当本身就是信息泄露漏洞，也可能导向更深入的漏洞。

建立这些思维模型后，你再去看一个登录框、一个文件上传点、一个API接口，眼光就会完全不同。你不会只想着“这里能不能SQL注入”，而是会想“这里开发者假设了什么？我该如何打破这个假设？”

3. 高效漏洞挖掘的标准化工作流

有了正确的心智模型，接下来需要一套可重复、高效率的工作流。我把这个过程分为四个阶段：信息收集、漏洞探测、深入利用和报告撰写。很多新手失败就败在没有流程，漫无目的地乱点。

3.1 第一阶段：深度信息收集（侦察）

信息收集不是简单地跑个扫描器，而是尽可能全面地绘制目标“地图”。这决定了你后续攻击的深度和广度。

子域名枚举：这是扩大攻击面的第一步。使用工具如subfinder,amass,oneforall等，结合字典，尽可能多地发现目标的子域名。别忘了检查DNS解析记录（A, CNAME, MX等），有时能发现隐藏的内部系统。
端口与服务探测：对发现的IP和域名进行端口扫描（nmap,masscan）。识别开放端口（如80, 443, 8080, 9000）及上面运行的服务（Nginx, Apache, Tomcat, Redis, MySQL）。非Web端口（如6379 Redis, 27017 MongoDB）如果配置不当，也可能直接获取权限。
Web应用指纹识别：识别网站使用的技术栈。工具如Wappalyzer（浏览器插件）、whatweb。知道对方用的是ThinkPHP、Spring Boot还是Django，能让你快速联想该框架已知的漏洞或默认配置弱点。
目录与文件扫描：使用dirsearch,gobuster,ffuf等工具，配合强大的字典，寻找隐藏的路径、备份文件、源码压缩包、配置文件、管理后台等。
API接口发现：
- 爬虫：使用crawlergo,katana等主动爬虫，遍历网站所有链接。
- 流量分析：浏览器F12抓包，或者使用Burp Suite代理所有流量，观察每一个请求和响应。
- JS文件分析：现代Web应用大量逻辑在前端，仔细查看JS文件，常能发现未在页面展示的API端点、参数名甚至硬编码的密钥。使用浏览器控制台或工具如LinkFinder、JSFinder来自动化提取。
历史漏洞与公开信息：在乌云镜像、GitHub、搜索引擎中搜索目标公司、产品名+“漏洞”、“渗透”、“敏感信息”等关键词。别人挖过的洞可能已修复，但同类型的问题可能以其他形式存在。

这个阶段的目标是生成一份详尽的资产清单和潜在入口点列表。我通常会用一个Notion或Excel表格来整理，标注每个资产的IP、域名、技术栈、可疑路径、状态等。

3.2 第二阶段：系统性漏洞探测（扫描与手动验证）

信息收集完毕后，开始有针对性的探测。这里要自动化与手动结合，切忌完全依赖工具。

自动化扫描（广撒网）：使用AWVS,Nessus,Xray等漏洞扫描器对目标进行初步筛查。但要明白，扫描器主要是发现低悬水果（如明显的SQL注入、XSS）和已知组件漏洞，对于复杂的业务逻辑漏洞几乎无能为力。扫描结果一定要人工复核，90%的报警可能是误报。
手动测试（重点突破）：这是挖洞的核心，针对第一阶段发现的高价值目标进行。
- SQL注入：每个参数都尝试用'、"、\、and 1=1、and 1=2、sleep(5)等Payload测试。使用sqlmap但要谨慎，--level和--risk参数从低到高，最好用--proxy指向Burp Suite以便观察流量，避免被封IP。
- 跨站脚本（XSS）：在所有输入点和输出点（反射型、存储型）测试<script>alert(1)</script>、<img src=1 onerror=alert(1)>等。关注富文本编辑器、文件上传（文件名、文件内容）、URL参数等。
- 跨站请求伪造（CSRF）：检查关键操作（改密、转账、增删数据）的请求是否缺少Token、Referer校验或验证码。用Burp Suite的“Generate CSRF PoC”功能快速生成测试页面。
- 文件上传漏洞：尝试上传不同后缀（.php, .jsp, .asp, .html）、修改Content-Type、利用双写后缀（.php.jpg）、00截断（test.php%00.jpg）等方式绕过前端和后端检查。
- 业务逻辑漏洞：这是手动测试的黄金地带，完全依赖你对业务的理解。
  - 越权：修改请求中的ID参数（用户ID、订单ID），尝试访问他人数据或执行他人操作。
  - 流程绕过：比如在抽奖活动中，抓取“抽奖”请求包，重复提交；或者跳过前置条件（如分享）直接访问抽奖接口。
  - 竞争条件：对同一资源（如优惠券、库存）进行并发请求，看是否会出现超额发放或超卖。
  - 参数篡改：对金额、数量、折扣等参数尝试修改为负数、极大值、小数。

实操心得：手动测试时，Burp Suite的Repeater和Intruder模块是你的左膀右臂。Repeater用于单次请求的精细修改和重放，Intruder用于对某个参数进行批量Payload测试（如遍历用户ID）。熟练使用它们能极大提升效率。

3.3 第三阶段：漏洞的深入利用与危害证明

找到一个漏洞点只是开始，如何证明它的危害性（也就是“利用”），直接关系到漏洞的评级和奖金。

SQL注入：不要只满足于报错，要尝试利用union select语句读取数据库名、表名、字段内容，特别是用户表、管理员凭证等敏感数据。能用--os-shell获取服务器权限当然危害更大，但需谨慎，避免对生产环境造成破坏。
XSS：反射型XSS危害较低，需诱导用户点击。存储型XSS危害高，证明它能影响其他用户。尝试窃取Cookie（document.cookie）、发起恶意请求（如模拟用户添加管理员）、进行键盘记录等，制作一个简短的利用视频或截图链。
越权漏洞：清晰地展示通过修改参数A，用户B访问到了用户C的隐私数据，或执行了只有高权限用户D才能执行的操作。用对比截图（正常请求 vs 越权请求）最直观。
信息泄露：证明泄露的信息能直接导致其他漏洞利用或造成实质性损害。比如，源码泄露中包含数据库密码；错误页面泄露了服务器绝对路径，可能帮助攻击者进行文件包含。

危害证明的核心原则是：清晰、可复现、有冲击力。评审人员每天看大量报告，一个直观的证明能让他快速理解漏洞的严重性。

3.4 第四阶段：专业漏洞报告撰写

报告是你与SRC平台沟通的唯一凭证，写得好坏直接影响审核速度和结果。

一份优秀的漏洞报告应包含：

标题：简明扼要，如“【高危】XX系统后台管理接口存在未授权访问，可导致任意用户删除”。
漏洞类型：准确分类（SQL注入、逻辑越权等）。
风险等级：参考平台标准自评（高、中、低）。
漏洞URL/位置：提供完整的请求URL。
漏洞描述：用自然语言说明漏洞是什么，存在于哪个功能模块。
复现步骤：这是核心！必须像说明书一样，一步一步详细列出。从如何登录（测试账号），到点击哪个按钮，Burp Suite如何抓包，如何修改参数，每一步的请求和响应是什么（可贴关键部分代码块）。确保审核人员能严格按照步骤100%复现。
请求与响应数据：提供触发漏洞的原始HTTP请求包和响应包（可用Burp Suite的Copy as curl command或Copy to file功能）。
漏洞证明：截图、视频、获取到的敏感数据（打码处理）。证明漏洞确实存在且可利用。
修复建议：给出具体、可操作的修复方案。例如，对于越权，建议“在服务端对操作目标ID进行严格的所属权校验”；对于SQL注入，建议“使用参数化查询（Prepared Statement）”。
影响范围：评估该漏洞可能影响哪些用户、哪些数据。

避坑技巧：报告语言要专业、客观，避免情绪化。复现步骤宁多勿少。提交前，自己用另一个浏览器或无痕窗口，完全按照你写的步骤走一遍，确保没有任何遗漏或依赖你本地环境的地方。

4. 针对不同漏洞类型的深度手法详解

掌握了工作流，我们再深入几种常见且高价值的漏洞类型，看看在实战中具体怎么思考和操作。

4.1 业务逻辑漏洞：思维的竞技场

这是SRC中价值最高、最考验思维的漏洞类型，因为机器难以发现。其核心在于理解业务并找到逻辑断层。

案例一：订单金额篡改在电商支付流程中，抓取“生成订单”或“确认支付”的请求。寻找代表金额、价格、折扣、运费等参数。尝试修改：

将正数改为负数（-0.01），看是否会生成负支付金额，导致余额增加。
将金额改为极小的正数（0.01），但实际购买高价值商品。
修改数量为负数或极大值，看库存和金额计算是否出现异常。
删除或修改校验参数，如totalPrice、sign（签名）等，看服务端是否重新计算校验。

测试要点：关注整个链条，从购物车到订单生成再到支付完成，每一步的请求都要拦截分析。有时漏洞不在最终支付，而在中间的优惠券核销、积分抵扣环节。

案例二：验证码与短信轰炸

验证码绕过：输入正确的验证码抓包，然后重放该请求多次；或者直接删除请求中的验证码参数再提交；或者尝试万能验证码（如000000）。
短信轰炸：寻找发送短信的接口（如/api/sendSms），尝试修改手机号参数为他人号码，或使用Intruder模块对该接口进行高频重放，造成骚扰。
验证码逻辑缺陷：验证码在服务端是否与手机号/邮箱绑定？是否在第一次验证后即失效？能否用一个验证码验证多个账户？

测试要点：这类漏洞的利用要特别注意合规性，测试时请使用自己控制的测试手机号或邮箱，严禁对他人号码进行测试。

案例三：权限绕过与未授权访问

水平越权：用户A和用户B权限相同。在查看“我的订单”、“我的地址”时，抓包观察请求中的用户标识（如user_id=123）。尝试修改为user_id=124，看能否访问到用户B的数据。
垂直越权：普通用户尝试访问管理员功能。直接拼接常见的管理后台路径（/admin,/manage,/backend），或通过JS文件、源码泄露发现的管理接口。即使需要登录，也可尝试在登录普通账户后，直接访问管理员API。
直接对象引用（IDOR）：这是一种特殊的越权。当文件、数据库记录的访问通过简单ID（如/download?file_id=123，/api/user/456/profile）控制时，遍历或猜测这些ID就可能访问到未授权的资源。

测试要点：越权测试的关键在于“替换标识”。仔细检查每一个请求中，哪些参数是用来标识用户、数据或权限的，然后思考“如果我把它换成别人的，会怎样？”

4.2 注入类漏洞：经典但不过时

尽管防护手段日益成熟，但注入漏洞（SQL、命令、模板等）依然常见，且危害巨大。

SQL注入的现代绕过技巧：单纯的' and 1=1 --可能早已被WAF拦截。需要一些技巧：

注释符绕过：--被过滤？试试#，或/*注释内容*/。
空格绕过：用/**/、+、%0a（换行符）、%0d（回车符）、%09（制表符）代替空格。
关键词绕过：大小写混合（SeLeCt）、双写（selselectect）、等价函数替换（mid()代替substring()，benchmark()代替sleep()）。
编码绕过：对Payload进行URL编码、十六进制编码、Unicode编码。
参数污染：同一个参数名提交多个值（?id=1&id=2），不同语言/框架解析方式不同，可能绕过检查。

命令注入与文件包含：在系统功能、文件上传、网络诊断等功能点寻找。

命令注入：参数中尝试拼接;、|、&、&&、||、反引号等，后接系统命令（如whoami、id）。
文件包含：寻找include,require,file_get_contents等函数可能控制的参数。尝试包含系统文件（/etc/passwd）、日志文件、或利用PHP的php://input、php://filter协议进行代码执行或源码读取。

测试要点：注入测试要慢、要细。观察所有错误回显，不同的报错信息能透露数据库类型、代码结构等关键信息。使用sqlmap的--tamper脚本可以自动尝试多种绕过技术。

4.3 前端安全漏洞：用户交互的陷阱

XSS和CSRF主要影响其他用户，是SRC中非常普遍的漏洞类型。

XSS的深入利用场景：

存储型XSS：在论坛发帖、评论留言、个人简介、文件上传（如上传SVG文件内嵌JS）等处注入Payload，所有访问该页面的用户都会中招。危害极大。
反射型XSS：通过URL参数触发，需要诱导用户点击恶意链接。在搜索框、错误信息提示等位置常见。
DOM型XSS：漏洞源在前端JavaScript代码中，不经过服务器。分析JS代码中哪些用户可控数据（如location.hash,document.referrer）被传递到了eval(),innerHTML,document.write()等危险函数中。

CSRF的自动化检测：用Burp Suite的“Engagement tools” -> “Scan for CSRF”功能可以自动检测。手动验证时，制作一个简单的HTML表单，自动提交恶意请求（如修改邮箱），看是否能成功。关注请求是否包含不可预测的Token、是否校验Referer头、关键操作是否要求二次验证（密码、短信）。

5. 工具链配置与高效实战环境搭建

工欲善其事，必先利其器。一套顺手的工具能让你事半功倍。

5.1 核心工具选型与配置

代理与抓包工具（必选）：
- Burp Suite Professional：行业标准，社区版功能有限但够用。专业版的主动扫描和Intruder并发功能强大。配置好浏览器代理（127.0.0.1:8080），安装Burp的CA证书以拦截HTTPS流量。
- Charles / Fiddler：作为Burp的补充，尤其在移动端APP抓包时有时更方便。
漏洞扫描器（辅助）：
- AWVS / Nessus：商业软件，能力全面但昂贵。可用于初期广撒网。
- Xray：长亭科技出品，被动扫描模式与Burp联动极佳，能自动识别流量中的漏洞，误报率相对较低。
- Nuclei：基于YAML模板的扫描器，社区模板库庞大，更新快，非常适合快速检测已知漏洞和暴露面。
信息收集与侦察：
- Subfinder/Amass/Assetfinder：子域名收集。
- Nmap/Masscan：端口扫描。
- Dirsearch/Gobuster/Ffuf：目录/文件爆破。Ffuf速度极快，是当前主流。
- TheHarvester：从公开源收集邮箱、子域名等信息。
专项利用工具：
- Sqlmap：SQL注入自动化利用。务必学会使用--proxy,--level,--risk,--tamper等参数，避免盲目扫描。
- Commix：命令注入自动化工具。
- XSStrike：专注于XSS检测和利用，绕过能力较强。
移动端测试：
- Jadx-GUI：反编译Android APK，查看Java源码。
- Frida：动态插桩框架，用于Hook APP函数、绕过证书绑定等。
- Objection：基于Frida的运行时移动端测试工具。

5.2 高效工作环境搭建建议

虚拟机或云服务器：建议在虚拟机（VMware/VirtualBox）或租用一台海外云服务器（如VPS）上搭建测试环境。避免本地网络IP被目标封禁。
Linux系统：Kali Linux是渗透测试专用发行版，工具齐全。但更推荐使用Ubuntu或Debian，自己按需安装工具，环境更干净可控。
浏览器与插件：
- Chrome/Firefox配合Wappalyzer,Hack-Tools,Cookie-Editor,ModHeader等插件。
- 多个浏览器配置文件：创建不同的浏览器用户，用于登录不同测试账号，方便切换身份测试越权。
笔记与知识管理：用Obsidian、Notion或OneNote记录每个目标的资产信息、测试过程、漏洞点、Payload。建立自己的漏洞库和Payload字典，这是你最重要的财富。

6. 从新手到精通的进阶路径与避坑指南

最后，分享一些我个人的进阶心得和常见“坑点”，希望能帮你少走弯路。

6.1 新手期（0-3个月）：培养感觉，建立信心

目标：挖到第一个漏洞（哪怕是低危）。
行动：
1. 选择容易的目标：找一些新上线、知名度还不高的SRC平台，或者大厂里新推出的业务线。这些地方防护可能不完善，竞争也相对小。
2. 专注一两类漏洞：比如就死磕“越权”和“短信轰炸”。把这两种漏洞的测试方法练到形成肌肉记忆。
3. 模仿与复现：在公开的漏洞报告平台（如补天、漏洞盒子已公开的报告）上，找一些简单的报告，尝试在自己的测试环境中复现，理解别人的思路。
避坑：不要一开始就挑战阿里、腾讯的核心业务。不要沉迷于跑自动化扫描器。不要忽略漏洞报告的质量，哪怕是一个低危漏洞，也要把报告写规范。

6.2 提升期（3-12个月）：拓宽视野，形成体系

目标：能够独立完成从信息收集到报告提交的全流程，并开始挖掘中高危漏洞。
行动：
1. 系统学习：深入学习HTTP协议、Web框架原理（如Spring Security, Django Auth）、常见中间件（Nginx, Redis）的配置与漏洞。
2. 工具进阶：不再满足于点击图形界面，学习使用命令行工具，编写简单的Python/Go脚本来自动化重复劳动（如批量测试IDOR）。
3. 思维发散：针对一个功能点，用思维导图穷举所有可能的测试用例。例如“密码重置功能”，可以测试：验证码是否可爆破、是否可绕过、是否绑定手机号、修改密码后原会话是否失效等等。
避坑：避免“脚本小子”心态，不要只追求利用工具而不知其所以然。不要忽视业务逻辑，这是你和自动化工具拉开差距的关键。

6.3 精通期（1年以上）：洞悉本质，创造方法

目标：能够发现复杂、深层次的漏洞，甚至挖掘出新型的漏洞利用方式。
行动：
1. 代码审计：尝试对开源项目或自己获取到的源码进行白盒审计，理解漏洞从代码层面是如何产生的。
2. 协议与架构：研究新兴技术（如GraphQL, gRPC, WebSocket, 云原生）的安全问题。
3. 分享与交流：在安全社区分享自己的挖掘案例，与其他人交流思路，碰撞出新的火花。
避坑：保持好奇心和学习热情。安全技术日新月异，昨天的经验可能明天就失效了。永远不要停止学习。

6.4 十大常见问题与排查技巧实录

Q：为什么我按照教程测试，却一个洞都找不到？
- A：目标可能已被充分测试过。尝试换目标，或关注目标新上线的功能、子域名。检查你的测试方法是否过于单一，尝试组合多种测试手法。
Q：我的Payload被WAF拦截了怎么办？
- A：首先，用极简单的Payload（如一个单引号'）测试是否被拦截。如果是，尝试慢速发送、分多次请求发送、使用编码、添加冗余参数、更换HTTP方法（GET/POST互换）等方式绕过。研究特定WAF（如Cloudflare, AWS WAF）的已知绕过技巧。
Q：扫描器扫出一堆漏洞，提交后却都是误报？
- A：永远不要直接提交扫描器结果！必须人工验证。误报通常因为：扫描器触发了自定义的错误页面；漏洞点需要特定权限或状态才能触发；Payload被前端过滤但后端未过滤。用Burp Repeater手动重放扫描器触发的请求，仔细分析响应。
Q：我找到了一个疑似漏洞的点，但无法稳定复现？
- A：记录下所有操作步骤和输入数据。可能是竞争条件、缓存问题或服务端状态不一致导致。尝试清理浏览器缓存、Cookie，使用不同的网络环境或账号重试。如果仍不稳定，在报告中如实说明，并提供你成功复现时的详细数据和环境信息。
Q：提交漏洞后，审核状态一直是“待审核”或“已忽略”？
- A：耐心等待，大平台报告积压可能严重。如果被忽略，仔细阅读回复，看是否是重复漏洞、规定范围外、危害过低或无法复现。根据反馈改进你的测试方法或报告质量。
Q：测试时不小心把目标服务搞挂了怎么办？
- A：立即停止所有测试！SRC规则严禁影响业务可用性。如果是读取类操作（如SQL注入查数据），通常问题不大。但如果是写入、删除或资源消耗型测试，风险很高。测试前一定要评估操作的影响，对于update/delete语句或可能消耗大量资源的请求，务必万分谨慎，最好在本地搭建类似环境测试。
Q：如何判断一个漏洞的危害等级？
- A：参考CVSS标准或目标SRC的自定义标准。一般从**机密性（C）、完整性（I）、可用性（A）**三个维度评估。能直接获取敏感数据（C高）、能篡改重要数据（I高）、能导致服务拒绝（A高）的，危害就高。同时考虑利用难度和影响范围。
Q：移动端APP抓不到包怎么办？
- A：可能是使用了证书绑定（SSL Pinning）。需要反编译APP，找到证书校验代码并绕过（使用Frida Hook相关函数），或者使用JustTrustMe等Xposed模块（在已Root的模拟器上）。也可能使用了非HTTP协议（如gRPC），需要专用工具分析。
Q：信息收集阶段找不到什么资产怎么办？
- A：尝试多种工具和字典。从证书透明度日志（crt.sh）、DNS历史记录、搜索引擎语法（site:target.com -www）、GitHub代码仓库中寻找线索。有时，一个不起眼的二级域名后面可能藏着一个庞大的测试系统。
Q：如何保持挖掘效率和动力？
- A：将挖洞项目化。设定每周小目标（如“本周深度测试一个子域名的三个功能模块”）。建立自己的检查清单（Checklist），避免遗漏。加入一些安全社群，和小伙伴一起“众测”，互相激励。最重要的是，把挖洞当成一种解谜游戏和技能修炼，而不仅仅是赚钱手段，享受发现和解决问题的乐趣。