干货|SRC漏洞挖掘经验

骑猪看日落 2022-10-20 13:40 260阅读 0赞

先谈个人经历，我虽然很早前就像挖掘SRC来锻炼自己，但真正实现起来大概也是2月初的时候。一开始在几大SRC平台，如顺丰SRC，小米SRC等装了两下，真的不知道从何入手。而且，SRC提交这事从来都是前人吃肉后人喝汤的局面，对于这样的平台，综合考虑自身的实力因素，打算先放弃挖掘这样的SRC。然后我在补天SRC开始挖掘，专属SRC的性质与前者一样，所以我先从公益SRC入手。

我是觉得公益SRC对于大佬的吸引力没那么大，对于我等菜鸡可能还能捞点菜汁吃。首个漏洞发现大概在挖掘的第二天发现的，但提交时显示名称已存在，看来大概率是已经被人发现的了，有点失望。因此，说说个人鸡贼的一面:

*  我是从第二页公益SRC开始挖掘，因为第一页的一般都是新提交了漏洞刷新上去的，等于被人挖掘了一遍。但有些是新上架的SRC，所以我还是在服务器跑了一个检测脚本，随时发现新情况。
 *  我进入页面，首先也是先看一个报告页的"整体趋势",如果近期有新报告的，我也不看了。因为这种说明近期也有人挖掘了一遍。
 *  另外我还会看厂商漏洞情况，如果是提交了很多但没有修复多少的，我也不看了。因为这种大概率挖到重复漏洞，提交也没用。

没办法，总要"功力"点，但我挖掘的每一个SRC都会认真的看每一个点。整个补天的公益SRC，等我逐个看完也够呛的。

## **思路** ##

首先是熟能生巧。我一开始挖洞时，也是看了很多网上的技巧并自己吸收，但做起来总是感觉无能为力。但现在这几天觉得越发轻松，一个网站会不会有洞，有没有隐藏的接口等，都能在几分钟内得出结论。

因为之前算是做过几个渗透测试的项目，所以对于挖洞我也是有一定的了解的。自始至终我都把关注重点放在"交互"上，这个思路也没有错。与ctf不同，每个生产环境都可能独一无二，很难在ctf中找到相似的例子。而且，关键也在于"信息收集"上。

## **流程** ##

浏览器：谷歌(搜索引擎)、火狐(配合bp抓包)

工具:fiddler(抓js交互包)、bp(抓包、重包)

脚本；自己写的垃圾扫描器，有什么不好用的地方当场改进，挺好的。其他漏扫几乎没用过。

1.首先对应的企业网址点击"提交漏洞"按钮可以看，这个也是我首次提交报告时发现的，一开始我还怕会不会"攻击"了非授权页面，总是心惊胆战的。

2.然后我会进入网站看看，浏览器左下角会显示各个链接的url，重点关注那些带?的。如果整个网站都没几个功能，就几个展示页面，这种我就...(跳4算了，都没什么好看的)

3.跟进链接，然后就开始抓包了。等到我挖洞的时候，我才发现，即使一个网站url是:?id=123,但真正起交互的反而是后续的js刷新，即访问一个url会抓到好几个交互，第一个GET请求并不起交互作用。我发现很多网站真的很喜欢用js来发送请求，真的无语，随便就控制住了。

4.开始谷歌hack大法: