文章总结： 本文系统讲解SRC漏洞挖掘基础，涵盖平台选择、授权边界与报告规范。核心内容为信息收集实战，推荐使用灯塔、Fofa等工具进行资产测绘，并结合谷歌语法、GitHub及网盘搜索挖掘敏感信息。建议优先关注小程序与逻辑漏洞，强调多工具交叉验证及法律风险把控。 综合评分： 83 文章分类： SRC活动,渗透测试,WEB安全,安全工具,红队

SRC漏洞挖掘2

StudySec

2026年1月13日 16:27 江苏

以下文章来源于CyberClay ，作者zzy

CyberClay .

记录一个大学生的学习生活

漏洞挖掘与信息收集课堂笔记1

一、基础规范：平台选择与风险把控

1. 公益漏洞提交平台

• • 推荐平台：360 漏洞云（360 众测、360SRC）、雷神公益

• • 平台特点：

• • 360 漏洞云：审核较慢，赏金直接到账

• • 雷神公益：通过积分兑换京东卡等形式发放奖励

2. 授权与管辖权规则

• • 特殊平台界定：教育类漏洞平台（如 EDU）无明确授权，仅纳入信息收集范围
• • 有效授权核心：需具备管辖权（例：某单位对银行有监管权，则银行资产属于其授权挖掘范围）

3. 风险提示

• • 扫描限制：不建议用漏洞扫描工具大规模扫描 EDU 类目标，避免流量异常被发现
• • 推荐挖掘方式：参数修改、越权访问等逻辑漏洞挖掘

二、漏洞报告撰写规范

1. 厂商信息填写

• • 厂商名称：目标公司全称（例：百度）
• • 厂商 IP：通过域名解析获取，注意 CDN 对准确性的影响
• • 厂商域名：填写主域（例：baidu.com）

2. 漏洞描述规范

（1）标题格式

• • 标准格式：[系统名称][功能点] 存在 [漏洞类型] 导致 [危害]
• • 示例：某系统 memo 功能点存在信息泄露，导致全站用户手机号码泄露

（2）漏洞详情（必备内容）

• • 资产证明、访问目标地址、漏洞点定位
• • 测试过程（步骤式：a>b>c>d）
• • 修复建议
• • 关键要求：图文并茂，附截图证明漏洞真实性

（3）审核建议

• • 报告结尾添加 “谢谢审核”，提升审核人员好感度

三、SRC 平台选择策略

1. 平台价值判断维度

• • 活跃度：查看英雄榜、月排行榜、年排行榜
• • 福利政策：关注平台活动公告（如积分翻倍、兑换机制）
• • 赏金标准：核实高危漏洞赏金是否达 300~400 积分（约 3000~4000 元）

2. 挖掘优先级顺序

• • 优先级：APP > 小程序 > Web
• • 实操建议：先挖掘小程序，再逐步尝试 APP 与 Web

四、信息收集工具推荐与使用

1. 工具分类与核心功能

| 工具 / 平台 | 核心功能 | 适用场景 | | — | — | — | | 灯塔平台 | 端口扫描、路径扫描、文件泄露检测 | 自动收集主域、子域、服务器基础信息 | | Hunter/Fofa/Quake | 域名、子公司、APP、小程序信息收集；实名搜索、业务系统识别 | 多维度资产排查 | | 零零信安 /enscan | 集成多家企业查询接口 | 企业关联信息收集 | | oneforall | 子域名挖掘 | 子域扩展 | | 阿拉丁 / 七麦数据 / 清迈数据 | 阿拉丁：小程序主体识别；七麦数据：企业 / 子公司信息；清迈数据：小程序 / APP 资产搜索 | APP / 小程序所属企业识别 | | 小蓝本 | 子公司信息收集、占股比例查询 | 确定关联资产 | | 爱企查 / ICP 备案查询 | 爱企查：企业信息；ICP 备案查询：通过备案号识别关联资产 | 资产关联性验证 |

2. 工具使用顺序

灯塔 > Hunter > Fofa > 子域名挖掘机 > oneforall

五、项目信息收集实战

1. 信息收集目的

• • 突破登录限制：解决无法登录系统时的挖掘突破口
• • 扩展漏洞危害：通过身份证、手机号等信息实现账号接管等深度利用

2. 核心收集方法

（1）谷歌语法（示例）

• • 示例 1：intext: 身份证 filetype:pdf 某大学
• • 示例 2：site:edu.cn filetype:doc 学号

（2）GitHub 代码泄露

• • 搜索目标：系统代码、配置文件、API 文档等敏感信息

（3）系统文档与视频

• • 查看内容：帮助手册、指导视频
• • 潜在价值：获取默认账号密码或业务逻辑漏洞线索

（4）多媒体平台

• • 搜索渠道：微信公众号、抖音等目标相关账号
• • 示例：学生分享的录取通知书可能泄露身份证号、学号

（5）网盘信息

• • 排查重点：公开网盘中的历史用户数据（如保险单编号、内部资料）
• • 推荐工具：https://www.wanwangsou.com/（网盘搜索）

六、小程序与 APP 信息收集技巧

1. 小程序挖掘

• • 搜索方式：在微信、支付宝、抖音等平台搜索关键词（例：“顺丰”“百度”）
• • 调试准备：安装微信开发者工具搭建代码调试环境

2. APP 挖掘

• • 实操建议：逆向分析难度较高，优先挖掘 Web 与小程序
• • 工具辅助：通过阿拉丁、七麦数据识别 APP 所属企业

七、总结与建议

1. 核心认知

• • 信息收集是漏洞挖掘的核心：信息越全面，挖掘成功率越高
• • 准确性提升：推荐多工具交叉验证

2. 实践原则

• • 能力提升：持续尝试新工具、新语法
• • 风险把控：实战中注重 “度”，避免触碰法律红线

3. 后续学习方向

• • 深入领域：APP 逆向、Web 渗透、业务逻辑漏洞挖掘

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：StudySec 《SRC漏洞挖掘2》