1. 先从最扎心的问题说起零基础到底能不能学漏洞挖掘经常有读者在后台问我我是个完全没接触过安全的菜鸟连SQL注入是什么意思都看不懂真的能做漏洞挖掘吗我的回答是能但前提是你得搞清楚零基础这个词的边界。如果你连HTTP协议是什么都不知道、没写过一行代码那确实没法直接上手但如果你懂一点网页原理、能写点简单的Python脚本、或者哪怕只是平时上网遇到问题喜欢刨根问底的折腾型选手那么漏洞挖掘这条路完全走得通。我见过太多机械专业转行做安全的同行也带过中文系毕业的姑娘挖出过正经的厂商漏洞这条路从来不是什么高智商人群专属。这个行业最吸引我的一点在于它本质上是一门找茬的手艺。你不需要从零搭建什么了不起的系统只需要学会用特定的思维方式去审视已有的业务系统找出开发者无意中留下的破绽。就像你去朋友家做客发现他家门锁用的是老式弹珠锁拿张银行卡一捅就开——漏洞挖掘干的事本质上和这个没区别只不过把家换成了网站、APP、小程序银行卡换成了BurpSuite这类工具。但这里必须说一个容易被鸡汤文带偏的点零基础意味着你需要付出额外的补课时间。别人三个月能走完的路你可能需要六个月甚至更长但这不代表走不通。关键看你愿不愿意把地基打扎实。我下面写的这份指南就是给你一份不掺水、不绕弯的完整路径要啥技能、去哪挖、怎么挖盘得明明白白。2. 技能树拆解不是让你成为全栈但这几样必须会用2.1 网络基础HTTP协议是你的第一门外语很多零基础新手最容易犯的错误就是一上来猛学各种漏洞原理、背Payload结果拿到一个真实目标后完全无从下手——因为他们连请求包和响应包都看不懂。在漏洞挖掘的世界里你打交道最多的不是代码而是HTTP协议。你要能看懂一次完整的浏览器访问服务器过程浏览器发送了什么请求、服务器返回了什么响应、Cookie和Session是怎么维持登录状态的、GET和POST参数分别是什么。这些概念不需要你达到背出RFC文档的程度但至少要达到看到抓包数据不犯怵的水平。我推荐的学习路径是这样的在浏览器里随便打开一个网站按F12打开开发者工具切到Network标签页刷新页面。别管看不看得懂先盯着那些密密麻麻的请求看半小时试着把我输入了一个账号密码点了登录和浏览器向服务器发送了一条POST请求里面带了username和password参数这两件事联系起来。这一步走通了你就迈过了第一道门槛。2.2 编程能力不做开发但要用Python和SQL对话你不需要成为编程高手但三样东西绕不开Python基础会写脚本处理数据、发送HTTP请求、写简单的批量检测脚本。不能只会print(hello world)要学会用requests库发请求、用re库做正则匹配、用json库解析返回数据。SQL基础至少要看得懂SELECT、INSERT、UPDATE、DELETE这些基本语句知道联合查询是什么、注释符怎么用。这是你理解SQL注入原理的前提。前端三件套HTML、JavaScript、CSS不用精通但要知道一个网页是怎么组成的。因为很多漏洞的触发点就在前端代码里你至少得能看懂前端JS代码里是否泄露了敏感接口。有人会问我直接用工具自动扫不行吗行但那是脚本小子的路子——只能扫出别人早就扫出来的东西扫不出真正有价值的漏洞。真正值钱的漏洞往往需要你人肉去分析业务逻辑这就需要你具备阅读代码的能力。2.3 工具链不是越多越好但这几款是主力零基础新手最容易掉进的坑是看到教程就下载几十个安全工具然后每个都只会点扫描按钮。我的建议是宁缺毋滥先把三款工具用到极致工具核心用途必学程度BurpSuite抓包改包、重放请求、爆破、各类测试的瑞士军刀必须精通浏览器开发者工具快速查看前端代码、调试请求、分析接口必须精通SQLMapSQL注入自动化检测与利用必须会用其他的工具Nmap做端口扫描、Dirsearch做目录扫描等你可以在实战中慢慢补充以后再学也来得及。但BurpSuite是无论如何都要最先拿下的——它几乎贯穿了你后续所有的漏洞挖掘工作。2.4 漏洞原理先学懂这三类足够你入门了漏洞的体系很庞大OWASP Top 10只是入门清单但零基础新手没必要一上来全学。我的建议是先把三类最基础也最高频的漏洞吃透SQL注入攻击者通过构造特殊的SQL语句让数据库执行非预期的查询命令。最简单的理解就是你本来该输入账号结果输入了一段命令程序还傻乎乎地执行了。XSS跨站脚本攻击攻击者往页面里注入恶意的JavaScript代码当其他用户访问该页面时这段代码就会在对方的浏览器里执行用来窃取Cookie、钓鱼等。越权漏洞通过修改请求中的参数比如用户ID访问到不属于自己的数据。这是逻辑漏洞里最常见的一类也是最容易让新手挖到有效漏洞的方向。这三类漏洞不需要你精通底层原理但要做到能看懂攻击流程、能复现漏洞、能说明危害。等你把这些搞明白了后面再学文件上传、命令注入、SSRF、反序列化等高级漏洞时会有一种触类旁通的畅快感。3. 去哪挖平台选对了努力才有回报3.1 SRC平台早九晚五挖漏洞官方发证书发奖金SRCSecurity Response Center安全应急响应中心是各大互联网公司自己设立的漏洞收集平台安全研究员在上面提交漏洞官方审核确认后发放奖金和证书。目前国内主流的SRC平台主要有这么几类企业SRC如阿里SRC、腾讯TSRC、字节跳动安全中心、百度安全应急响应中心等。这些平台只接收自家公司产品的漏洞奖金通常较高。教育SRC专门收集教育行业相关的漏洞范围覆盖各大高校的网站系统。由于高校网站系统防护通常偏弱是很多新手起步练手的好去处。第三方综合平台如补天平台、漏洞盒子、火线安全等对接的企业范围更广提交途径更灵活。新手怎么选平台我给的建议是先看漏洞收录范围和审核速度。有些大厂SRC收录范围收得很窄审核周期也长新手投了漏洞迟迟得不到反馈容易打击积极性。反而是一些中小型SRC或教育SRC收录范围广、审核快、漏洞难度要求不高更适合练手。这里必须强调一句安全边界的话所有SRC测试都必须在授权范围内进行即只能测试平台明确列出的域名和系统严禁测试未授权目标。这是行业红线碰了就是违法犯罪这个职业操守从第一天就要印在脑子里。3.2 众测与CTF练手和入门的互补路径除了SRC还有两个重要的练手渠道众测平台组织一批白帽黑客对企业系统进行集中测试通常有时间限制和明确的范围限制。头部和腰部平台上的众测项目是小白接触真实业务系统的好机会但建议你先在SRC上积累了一些经验后再上不然投出去全是无效漏洞影响自己的信心。CTFCapture The Flag夺旗赛虽然CTF里的题目和真实业务系统差别不小但它的题目是经过设计的漏洞环境难度梯度合理、反馈即时非常适合零基础新手理解漏洞原理。像BUUCTF、攻防世界这些平台都有从易到难的题目。我的建议是拿出一半时间刷CTF题一半时间在SRC或靶场实操两边互相印证、共同提升。3.3 本地靶场零基础新手的安全训练场在你觉得自己还没准备好去真实系统上练手之前先在本地搭一套靶场是绝对必要的。推荐的靶场有DVWADamn Vulnerable Web Application经典的PHP漏洞练习靶场覆盖SQL注入、XSS、文件上传等常见漏洞难度分为低中高三档。Pikachu国内安全师傅开发的漏洞练习平台中文界面对新手非常友好。sqli-labs专门练习SQL注入的靶场从基础到进阶有90多个关卡。靶场的优势在于绝对安全、随便折腾。你可以放心大胆地反复测试不用担心搞坏了什么东西。很多新手问怎么算把漏洞原理吃透了我的判断标准是你在DVWA里能在不看教程的情况下从低难度一路打通到高难度而且每一关都能说出为什么这样就能绕过——这个水平已经超过一半的入门选手了。4. 怎么挖一套完整且可复制的实战流程4.1 信息收集漏洞挖掘的情报战很多新手在SRC上拿到一个域名后打开浏览器访问一下主页面然后用扫描器一顿扫找不到东西就放弃了。这是典型的没有信息收集意识。信息收集是漏洞挖掘最重要的前置环节它的核心目的是扩大攻击面。一个域名下可能挂着几十个甚至上百个子域名、不同的应用系统每个系统的技术栈、防护水平都不一样。你主站挖不动不代表其子域、后台、API接口也挖不动。我常用的信息收集流程是子域名收集使用subfinder、OneForAll等工具从证书透明度日志、DNS历史记录等渠道收集目标的子域名。比如目标域名是example.com你可能会发现admin.example.com、api.example.com、test.example.com等一堆有价值的子域名。端口与指纹识别对收集到的IP进行端口扫描Nmap识别目标系统使用了什么中间件Apache、Nginx、Tomcat、什么开发框架Spring、ThinkPHP、Laravel、什么CMSWordPress、Discuz。目录与接口探测用dirsearch或dirb扫描隐藏的目录和文件比如备份文件.bak、.zip、后台入口admin、manage、未授权接口等。指纹匹配历史漏洞拿到指纹后查找该版本是否存在已知漏洞。这部分是捡漏阶段虽然含金量不高但能帮新手积累一些实战出洞的信心。信息收集的产出是一张目标系统的作战地图。你不需要在一开始就找到漏洞只需要把攻击路径摸清后面自然会有思路。4.2 漏洞测试三板斧手工为主、工具为辅拿下一个目标系统的测试权后我的测试顺序是固定的新手可以照着抄第一板斧测SQL注入。将请求包发到BurpSuite的Repeater模块在参数后面加上单引号、双引号、and 11、and 12等测试语句观察响应包是否出现数据库报错信息或页面内容变化。如果存在明显差异就可以用SQLMap进一步检测和利用。第二板斧测越权。这是新手最容易出成果的地方。找到目标系统里的个人中心订单详情用户信息等页面观察请求中是否带有序号、ID、用户名等参数。把参数值改成其他人的ID看是否能访问到别人的数据。如果能看到就是一个标准的越权漏洞。这类漏洞奖金可能不高但作为入门练手价值巨大。第三板斧测XSS。在搜索框、留言板、用户昵称等输入位置提交scriptalert(1)/script等测试载荷看是否弹窗。尤其要注意那些前端没有做过滤、后端也没有转义的场景。测出反射型XSS需要提交并说明危害存储型XSS则直接加分。这三板斧走完之后新手应该已经积累了一些判断什么是有漏洞、什么是没漏洞的直觉。再往后就可以根据目标的技术栈去深入了解对应的漏洞类型了。4.3 漏洞报告撰写写得好漏洞价值翻倍有个残酷的事实是很多新手挖到了漏洞却因为报告写不清楚被厂商驳回了。一份合格的漏洞报告不是随便截几张图、说一句这里存在SQL注入就行它需要包含漏洞地址完整的URL和请求包让审核人员能直接复现。漏洞类型属于哪一类漏洞SQL注入、XSS、越权等。漏洞描述用通俗语言说明这个漏洞是怎么被发现的、为什么会存在。复现步骤从访问哪个页面开始到输入什么内容、看到什么现象一步一步写清楚。这一步是报告的核心一定要让审核人员照着你说的做就能看到报错或异常。危害说明攻击者可以利用这个漏洞做什么比如可获取数据库全部用户信息包括手机号和密码哈希。修复建议可以简单给出加固建议比如对用户输入进行参数化查询对ID参数进行权限校验。记住一句话审核人员每天要处理大量报告如果你的报告让对方一分钟内看不懂那它大概率会被归入忽略名单。写报告时假设对方是一个什么都不知道的小白你需要事无巨细地把复现路径交代清楚。4.4 一个完整的实战案例从信息收集到出洞我拿一个虚构的但流程完全真实的例子来展示一下完整过程让新手对怎么挖有一个整体的感觉。假设我在教育SRC平台上看到一个目标学校域名www.example-edu.cn。我的流程是这样的信息收集阶段用OneForAll跑了一轮子域名发现有一个lib.example-edu.cn看起来是图书馆管理系统。访问了一下用的是老版本的某某图书管理系统指纹匹配到一条CVE历史漏洞。目录扫描阶段对lib.example-edu.cn跑了一遍dirsearch发现目录下存在一个/admin/后台管理界面登录框用的是明文HTTP协议。手工测试阶段在搜索框输入一个单引号页面直接返回了数据库报错信息确认存在SQL注入。工具验证阶段将请求包保存下来用SQLMap跑了一遍确认注入点存在且当前数据库用户权限是DBA最高权限。危害确认阶段从数据库里能够读取到图书管理员账号的密码哈希以及部分读者个人信息。报告提交阶段整理好请求包、报错截图、SQLMap运行结果按照报告的六要素写了一份完整的漏洞报告提交到教育SRC平台。两周后收到审核通过的反馈评了一个中危漏洞拿到了对应的积分和奖金。这个案例里没有多么高深的技术关键就是按流程走——把信息收集做细、把手工测试做扎实洞就会自己浮现出来。5. 新人最容易踩的坑这些弯路别走了我替你踩过5.1 坑一拿到目标就开扫完全不做手工测试很多新手拿到一个域名后的第一反应是打开扫描器一顿乱扫。这会导致两个问题一是扫描器会产生大量请求容易被目标的风控系统拦截导致封IP二是扫描器能发现的大部分是已知漏洞很多SRC平台对扫描器直接扫出来的漏洞认可度不高认为没有技术含量。我的建议是扫描器只用来做辅助手工测试永远是主流。BurpSuite里那些手动发包、改包的操作才是你真正培养漏洞嗅觉的途径。等你手工测多了你会逐渐形成一种直觉这个参数看起来怪怪的可能有问题。5.2 坑二眉毛胡子一把抓每个方向都想试有些新手今天测注入、明天测XSS、后天又开始研究文件上传哪个方向都没深入。漏洞挖掘最忌讳广撒网而应该深挖井。选定一个技术栈或漏洞类型后把它研究透直到你能跟人讲清楚这种漏洞为什么存在、怎么绕过、危害是什么再换下一个方向。零基础新手的推荐路线是先在DVWA和sqli-labs里把SQL注入练到滚瓜烂熟去教育SRC上专门找SQL注入的洞连续出三四个SQL注入的有效漏洞后再扩展到XSS和越权。5.3 坑三忽视报告质量漏洞煮熟的鸭子飞了我见过太多新手挖到漏洞却因为报告写不清楚被判忽略的案例。写报告时除了把复现步骤写清楚还要注意及时提交有些漏洞可能存在竞争关系你把洞捂在手里太久别人先提交了你就白挖了。使用平台模板各大SRC平台通常会提供漏洞报告模板按模板填写可以降低被退回的概率。提供清晰截图和POC截图要包含完整的请求URL和关键信息不要只截一个模糊的弹窗图。5.4 坑四心态崩太快一两个洞挖不到就想放弃这是最普遍的问题。漏洞挖掘本质上是一个概率游戏你可能花一整天分析一个目标最终一无所获也可能随便一点就发现了一个严重的逻辑漏洞。把挖不到当成常态把挖到了当成惊喜放平心态持续积累才能真正在这个领域扎下根来。我自己的记录是入门阶段前两个月几乎每天晚上都泡在靶场和SRC上一个有效的漏洞都没提交成功。直到第三个月才歪打正着地挖到第一个越权漏洞。之后就像打通了任督二脉漏洞越挖越顺。所以你不是没有能力你只是还没到诀窍出现的时候。6. 给零基础新手的三个月实操路线图最后分享一个我总结过多次、带过不少人走通的三个月路线图。你可以把它当作一份抄作业的清单根据自己的节奏调整时间主要任务预期产出第一周学习HTTP协议基础和Web工作原理学会使用BurpSuite抓包改包能看懂请求包和响应包第二周学习Python基础requests库、正则表达式搭建DVWA靶场能写简单的自动化请求脚本第三至四周在DVWA和sqli-labs中练习SQL注入理解原理能在靶场中独立完成SQL注入攻击第五至六周学习XSS和越权漏洞在靶场中实践理解两类漏洞的原理和利用方式第七至八周注册教育SRC平台从信息收集开始实战提交第一个有效漏洞第九至十二周保持每周至少20小时的练习量重点打磨报告撰写能力累计提交3~5个有效漏洞在实际操作中我个人体会最深的一点是把每天挖漏洞变成一种习惯而不是任务。哪怕当天只花20分钟翻一翻目标网站的JS代码、测一测某个接口的返回包也比周末猛肝10小时更有效。漏洞挖掘是个手熟的技术活手感和直觉都是在日常的点点滴滴中积累出来的。最后再分享一个小技巧建一个自己的漏洞笔记库。每挖到一个洞就把它的完整过程记录下来包括当时的思路、用了什么参数、最终如何确认。这些笔记是你最宝贵的财富它们会帮你逐渐构建起自己的漏洞挖掘方法论。当你的笔记数量过百的时候回看自己第一周记下的稚嫩笔记你会清晰地看到自己的成长轨迹。