AI挖洞实战 08 | Workbuddy+Skill技能库，文件上传漏洞

原创

网安学习室
网安学习室

网络安全学习室

2026年10月20日 11:47
湖南

去阅读

01 准备工作与AI约束配置

最近在SRC众测平台刷项目，优先挑了校园场景的业务系统。校园类平台大多是外包赶工出来的，像学生材料上传、社团报名表单，是文件上传漏洞的高发地。很多开发只做一层前端校验，稍微构造载荷就能绕过。

在启动自动化任务前，我第一件事不是直接跑扫描，而是给Skill写好约束，划定测试边界，防止AI乱发包触发WAF，也避免不小心越权访问其他敏感数据。

约束提示词：

本次目标：校园资料上传接口，仅测试文件上传漏洞。
规则1：只上传测试用无害文件，禁止上传木马、恶意脚本；
规则2：请求间隔≥3秒，禁止并发大量请求；
规则3：仅测试文件上传接口，不访问其他学生信息、成绩查询接口；
规则4：一旦发现可上传脚本文件线索，立刻停止任务，等待人工复核。

导入Skill，AI就会严格按照这套规则做自动化探测。

02 接口收集，抓取学生附件上传请求

调用04‑前端JS与API信息收集Skill，定位到这个系统里【学生申请证明上传】功能，和我们学校提交助学金、实习材料的页面几乎一模一样。抓包拿到上传接口：

上传接口：POST /api/student/fileUpload

表单参数：

file: 学生上传图片材料（学生证照片、申请证明）
uploadType: apply

业务逻辑：学生提交各类校园申请时，上传证明图片，后端接收文件保存到服务器。

原本设计只允许上传jpg、png图片。一旦后端校验逻辑存在缺陷，就会出现文件上传漏洞。Skill标记这个接口作为本次探测目标。

03 自动化漏洞探测，批量绕过Payload测试

启用文件上传探测Skill，探测流程：

1. 加载内置文件上传Payload集合：后缀大小写绕过、黑名单绕过、文件头欺骗、双后缀等常见payload；
2. 循环替换文件名称与文件内容，提交到上传接口；
3. 记录返回数据包，判断文件是否上传成功，并且获取访问地址。

我点开任务让AI跑起来，就收拾东西去食堂吃饭。等吃完饭回到宿舍打开电脑，发现探测任务已经自动暂停。

探测结果：上传test.jpg.php，接口返回上传成功，并返回可直接访问的文件链接。

Workbuddy标记高危线索，等待我人工核验。

漏洞线索：后端仅简单校验文件名后缀，没有校验文件真实内容，可上传php脚本文件，存在文件上传高危漏洞。

04 人工复现验证

AI只能帮我筛线索，人工复现，才是提交SRC拿赏金的关键一步。

复现步骤

1. 先正常上传一张jpg学生证照片，确认上传功能正常；
2. 构造test.jpg.php双后缀文件，提交上传接口；
3. 使用返回链接访问该文件，如果脚本能够被服务器解析执行，确认漏洞真实存在。

漏洞判定标准

1. 用户可控文件上传；
2. 后端校验可被绕过；
3. 可上传可执行脚本，服务器能够解析执行脚本代码。

满足条件，判定高危文件上传漏洞。

05 漏洞根因分析与修复方案

漏洞根因

看完逻辑我很能理解开发的想法：以为前端限制图片后缀就足够安全。但前端校验用户完全可以篡改。这个外包项目工期紧，后端只做了简单黑名单，没有校验文件头部，上传目录还保留脚本执行权限，一个小小的疏漏直接造成高危漏洞。

修复方案

1. 使用白名单：只允许jpg、png这类图片后缀，拒绝其他所有后缀；
2. 校验文件头部（文件幻数），不单单依靠文件名判断文件类型；
3. 上传目录取消脚本执行权限，就算恶意文件上传成功，也无法解析运行；
4. 文件重命名，随机生成文件名，剥离原始文件名，防止后缀绕过；
5. 图片类文件，后端二次压缩转码，破坏嵌入脚本。

06 生成SRC标准漏洞报告

调用漏洞报告生成Skill，一键生成SRC漏洞报告初稿。

报告提示词：

根据本次校园场景文件上传漏洞，生成SRC漏洞报告，包含标题、漏洞类型、复现步骤、POC请求包、漏洞根因、修复建议。

初稿生成之后，我花了半小时手动补充抓包截图、请求响应报文。反复核对资产，确认属于SRC授权范围，不夸大漏洞危害，全部核验完毕提交平台。

写在最后

身边不少同学都好奇SRC挖洞，但是很多人一上来就想着去测本校教务系统，这里一定要提醒大家：千万不要直接去测本校官网、教务系统，没有授权属于违法行为。我们只能在SRC平台开放的校园类众测靶场练习。

AI是工具，不能替代思考。如果看不懂漏洞原理，就算AI跑出线索，你也无法复现、写不出合格的漏洞报告。课余、实训间隙学网安，一边练手一边拿赏金，既能攒下实打实的项目写进简历，也能赚点生活费。对我们专科生来说，这是一条靠技术提升自己的路子。

本次全套干货已打包：AI 自动化挖洞 Skill，也就是这套《Web 漏洞技能集》。这套技能库从前期的信息收集、资产分析，到中间的漏洞排查，再到最后的漏洞报告生成，整个挖洞流程都已经拆分好了。

后面实际测试的时候，只需要根据当前目标的情况，选择对应的 Skill，让 AI 按照对应流程执行即可，新手也可以快速上手，直接👀👉全套自学资料

⚠️ 合规声明 本文所有技术内容仅用于官方授权 SRC 合规测试与网络安全技术学习，严禁未授权探测、非法渗透测试，违规操作自行承担法律责任。

网络安全 #SRC挖洞 #AI自动化挖洞 #Hermes #业务逻辑漏洞 #优惠券越权漏洞 #网安副业 #零基础挖洞