Bug Bounty 入门：挖洞平台与工具

FreeGuideOnline 最新 2026-06-19

Bug Bounty 入门：挖洞平台与工具

本教程面向零基础的安全爱好者与开发者，系统梳理 Bug Bounty（漏洞悬赏）的核心平台、常用工具与上手路径。你将了解如何选择适合自己的平台、搭建测试环境、掌握关键工具，迈出提交第一个有效漏洞的第一步。

1. 什么是 Bug Bounty？

Bug Bounty 是企业或个人通过悬赏方式，邀请白帽黑客发现并报告系统漏洞的合作模式。它不依赖于单一的安全团队，而是借助社区的力量对资产进行持续检测。对于新手而言，这是一个将技能转化为经济回报，同时积累实战经验的途径。

重要概念区分

  • VDP（漏洞披露政策）：企业允许外部人员报告漏洞，但不一定支付赏金，通常会给予感谢或积分。
  • 私人/公开项目：公开项目人人可参与，私人项目需要邀请或达到一定声誉才能进入。
  • SRC（安全应急响应中心）：企业自建或托管的安全漏洞接收平台，如腾讯SRC、阿里SRC等。

2. 主流挖洞平台推荐

新手往往不知从何下手，选择门槛低、指导清晰的平台能大幅降低挫败感。以下是经过筛选的适合入门的平台。

2.1 HackerOne

全球最大的漏洞协调与悬赏平台，覆盖互联网巨头到初创公司。

  • 优点：界面友好，漏洞提交流程清晰，提供大量公开演示报告。
  • 新手友好特性：注册后即可参与标注为“Signal”的公开项目，Hacktivity 页面可以看到每次有效提交的报告摘要（打码版），是极佳的学习素材。
  • 积分系统：声誉分（Reputation）决定你能看到的私人项目邀请。从低门槛项目开始积累。

2.2 Bugcrowd

老牌众测平台，侧重企业级项目，分类详细。

  • 优点：提供“Crowd Match”自动匹配合适的私密项目；平台导览教程完善。
  • 注意：许多好项目需要完成技能评鉴才能解锁，建议先花时间完成 Skill Evaluation。

2.3 YesWeHack

起源于欧洲，增长迅速，有众多 IoT、区块链和 Web 项目。

  • 亮点：自带 CTF 闯关与训练环境，和漏洞挖掘直接挂钩；提供一个特殊的“Dojo”道场，帮助新手在模拟目标上练习。
  • 适合人群：想从练习场景平滑过渡到真实目标的学习者。

2.4 国内平台

国内企业通常设有独立 SRC，也可通过聚合平台参与。

  • 补天平台（butian.360.cn）：公益活动与企业悬赏并存，适合从“公益漏洞”开始，积累能力后转向付费项目。
  • 漏洞盒子 / CNVD：政府类项目较多，CNVD 原创漏洞证书在国内求职有加分。
  • 各大厂商 SRC：如蚂蚁、腾讯、字节、百度等，通常在官网底部有“安全响应中心”入口。新手可先阅读每家公告，了解接收的漏洞类型及奖励范围。

建议路线：先在 HackerOne 或 Bugcrowd 的公开项目上熟悉国际化流程，同时用国内公益平台练手，两者报告格式不同，尽早适应。

3. 学习路径与测试环境

直接奔赏金而去容易盲目，需要先建立方法论。推荐“学习 -> 练习 -> 实战”三级跳。

3.1 必备基础知识

无需成为全栈专家，但以下概念必须掌握：

  • HTTP/HTTPS 协议：请求与响应结构、常见状态码、Cookie 与 Session 机制。
  • 同源策略与 CORS：理解跨域资源访问的安全限制。
  • OWASP Top 10：重点关注排名前五的类型：注入、失效的身份认证、敏感数据泄露、XML 外部实体（XXE）、访问控制失效。
  • JavaScript 与 DOM 基础：能看懂前端代码，不会挖 XSS 则寸步难行。

3.2 推荐学习资源

  • PortSwigger Web Security Academy （完全免费）：互动式在线实验室，涵盖全部 OWASP 漏洞类型，难度分阶段，包含详细解题引导。这是目前公认最好的 Web 漏洞练习平台。
  • PentesterLab：提供真实环境复现，有免费练习，重点掌握代码审计思路。
  • TryHackMe & HackTheBox：侧重整体渗透思维，但“Web 基础”房间对挖洞很有帮助。

3.3 合法测试环境搭建

严禁在未授权目标上练习。你可以：

  1. 本地搭建漏洞靶场：如 DVWA、bWAPP、OWASP Juice Shop。使用 Docker 一键部署。
  2. 使用在线沙箱：HackerOne 的 CTF 区域、YesWeHack Dojo。
  3. 参与开源项目：一些开源仓库会主动声明接受安全测试，例如在 README 中提供 Security Policy。务必确认后再进行探测。

4. 挖洞常用工具集

工具不是越多越好，掌握核心工具的使用技巧，比囤积工具更有效。以下按用途分类，全部是免费或具备免费版。

4.1 浏览器与代理抓包

  • Burp Suite Community Edition：Web 漏洞测试事实标准。入门必装。
    关键词：Repeater（重放请求）、Intruder（参数模糊测试）、Decoder。社区版无自动扫描，正适合锻炼手动测试能力。
  • 浏览器开发者工具：F12 调出，用于检查元素、网络活动、修改 DOM 和断点调试 JavaScript。
  • OWASP ZAP：替代方案，同样可做代理与扫描，适合不想装 Java 环境的用户（ZAP 本身需 Java）。内置的 Ajax Spider 对现代前端应用效果较好。

4.2 子域名与资产发现

  • Subfinder：Go 语言编写，速度快，多源被动收集子域名。
  • Amass：OWASP 项目，主动与被动发现结合，信息关联强。
  • httpx / httprobe：快速探测子域名列表中的存活 Web 服务，提取标题、状态码、技术栈。
  • gau (Get All URLs)：从 Wayback Machine、AlienVault OTX 等来源收集已知 URL，是发现隐藏端点的利器。

4.3 扫描与模糊测试

  • Nuclei：基于 YAML 模板的快速漏洞扫描器，社区模板库庞大，适合验证已知模式（如 CVE、默认凭证）。
  • ffuf / dirsearch：目录/文件枚举工具。ffuf 速度极快，支持自定义过滤；dirsearch 生成报告直观。
  • SQLmap：自动化 SQL 注入检测与利用。必须在获得授权的目标上使用，并控制并发，避免影响业务。

4.4 特殊场景工具

  • Caido：新兴的 Web 安全审计工具，可直接代替 Burp 的部分功能，界面现代，对新手更友好（免费版功能受限制但够用）。
  • HTTPX (Python 库)：若需编写自动化脚本，httpx 和 requests 库是必备。
  • Arjun：用于探测 API 中隐藏的参数，对发现未公开的参数导致的漏洞非常有效。

4.5 工具使用原则

  1. 最小影响：扫描器线程设为 5-10 并发，勿对生产环境造成压力。
  2. 先被动后主动：先用搜索引擎、证书透明日志、Wayback Machine 收集信息，再用主动扫描。
  3. 手工验证：工具输出只是线索，每个漏洞都必须手工复现，确保无误报，并写出高质量报告。

5. 漏洞挖掘方法论（入门版）

5.1 选择第一个目标

  • 选“公开项目”且资产范围明确（如 *.example.com）。
  • 优先考虑响应性高的团队（HackerOne 上有“回应平均时间”指标）。
  • 避开热门的高赏金项目，竞争小、功能多的中小目标更适合新手训练。

5.2 侦察（Recon）

这是投入时间最长、也最重要的阶段。一个完整的侦察清单：

  1. 子域名枚举：Subfinder + crt.sh 证书查询。
  2. 存活检测与指纹识别：httpx 获取标题、技术栈。
  3. 收集历史 URL：gau + waybackurls，综合去重。
  4. 提取 JS 文件与端点：使用 subjs、katana 等工具提取 JavaScript 文件中的路径、API 键等敏感信息。

5.3 漏洞探测

按漏洞类型分步探查，切勿东一榔头西一棒子。

  • IDOR（越权）：查看 API 请求中的用户 ID、订单 ID 等，尝试替换为其他值，观察是否出现信息泄露。
  • XSS：优先找搜索框、评论、个人资料编辑等输入点，测试反射和存储型。记住绕过：大小写混杂、双写、编码。
  • CSRF：检查表单提交是否依赖可预测的表单令牌，或是否缺失令牌。尝试用自己的凭证构造恶意 HTML 页面发起请求。
  • 信息泄露：.git 泄露、备份文件（.bak, .swp）、目录列表、报错信息中的路径与堆栈。
  • 业务逻辑漏洞：如优惠券无限次使用、负值充值、跳过支付步骤。这些需要理解业务流。

5.4 报告撰写

一份好的报告是你获取赏金的关键：

  • 标题：简短说明影响，如“任意密码重置导致账户接管”。
  • 资产：列出受影响的确切 URL 或 endpoint。
  • 复现步骤：用截图或视频，一步一步引导，确保三岁小孩都能看懂。
  • 影响说明：量化潜在伤害，如“攻击者可修改任何用户的订单状态，造成财务损失”。
  • 修复建议：给出代码级建议（如使用参数化查询、实施 CSRF Token）。
  • 所有报告都需真实、诚实，切勿夸大风险。

6. 新手避坑指南

  1. 不要追求 0day：优先聚焦 XSS、CSRF、IDOR、信息泄露等中低危漏洞，它们更容易被忽视而存在。
  2. 勿用自动化扫描器打扰目标：很多项目禁止未授权的自动扫描，会被封禁。阅读项目政策（Policy）是首要动作。
  3. 不要提交未复现的扫描器报告：这会导致信誉下降，甚至封号。
  4. 沟通保持专业：与项目安全团队交流时，礼貌、合作。遇到分歧，先用证据说话，不行再找平台仲裁。
  5. 注意漏洞时效性：发现漏洞后尽快报告，避免与他人的提交碰撞。
  6. 保护隐私：使用化名注册，谨慎分享个人信息。

7. 持续成长计划

  • 每日浏览 Hacktivity：学习别人发现的高质量漏洞，思考如果是你会怎么测试。
  • 加入社区：如 Discord、微信群、Reddit 的 r/bugbounty，但切记不在公共频道讨论未授权目标的细节。
  • 写博客记录：即使是一个简单的反射 XSS，写下来也能巩固技能，并建立个人品牌。
  • 迭代工作流：每完成一个项目，回顾自己的侦察与测试流程，用脚本或工具优化耗时多的步骤。

从准备工具到提交第一份报告，你可能需要坚持数周时间。请保持耐心，并享受不断发现“隐藏入口”的乐趣。

本教程将持续更新，建议收藏并反复回顾不同阶段。安全测试前请务必获得明确授权。