零基础写“挖洞”这个词这几年在网安圈已经快被说烂了。但说实话我见过太多人把这个词理解偏了。大多数新手一上来就想要平台清单想直接拿别人的业务练手结果要么学不进去要么在违法的边缘反复横跳。我做了十多年安全相关的工作从最早自己搭环境瞎折腾到现在经常帮朋友看漏洞报告想从一个经历过不少弯路的人的角度把“零基础怎么入坑”这件事讲明白。这篇不吹牛不制造焦虑只聊大家最关心的有哪些能用的平台、怎么选、怎么练、怎么避坑以及这行到底怎么才能走得稳。首先把最重要的一件事说在前面我下面提到的所有“挖漏洞”动作都默认发生在以下两种场景里——要么是你自己搭的学习环境要么是你已经拿到平台或厂商书面授权的测试范围之内。任何未经授权对线上系统、他人资产的扫描和渗透在法律上有明确风险而且这不是吓唬人。所谓“零基础入门”第一条要入的是规则的门。1. 你会看到无数个“挖漏洞”的说法得先分清这几个词1.1 “挖漏洞”和“渗透测试”不是一回事很多教程把这两个词混着用其实差别很大。“挖漏洞”更多是指在某个授权范围内寻找系统、应用或业务流程里的缺陷。这些缺陷可以被攻击者利用但也可以是纯粹的逻辑错误、配置问题。通常这类工作集中在漏洞众测平台和 SRC安全响应中心上企业会明确告诉你“我的这个域名、这个 App、这个系统大家来看看发现有效问题我们可以给奖励。”而“渗透测试”更像一个规范化的服务流程是安全公司或测试团队针对客户明确授权的系统按照既定范围、既定时间窗进行的完整评估。它包含信息收集、漏洞发现、利用尝试、权限提升、后渗透测试、编写报告等多个阶段。渗透测试更讲究“受控”时刻要跟项目负责人同步从开始到结束都有边界。我的建议是新手不要一开始就觉得自己要做渗透测试那是进阶以后的事情。先专注于“漏洞发现”这一件事把单一问题看清楚、搞明白反而比一套花活更重要。1.2 安全测试的真正核心是“判断”不是“攻击”我发现很多人入门的时候有个误区总觉得要学会各种攻击姿势好像每天都要拿到 shell 才叫厉害。其实安全研究的真正功夫在“判断”两个字上。判断这是个不是个漏洞判断这个漏洞能造成什么影响判断它是不是真实可利用的判断它值不值得写进报告判断它该不该披露、怎么披露。早期我见过不少新手学了两天工具拿别人真实站点练手一口气扫出一堆“高危”兴奋得不行。结果仔细一看全是扫描器自带的误报有的甚至根本没有对目标做授权确认。这就是典型的把“扫描”当“挖掘”把“结果”当“漏洞”。真正能被平台和厂商认可的漏洞报告靠的从来不是扫描器而是清晰的分析和定位能力。所以零基础的第一步不是去找攻击工具而是先建立一个思维框架任何测试行为都在“合法的授权”与“明确的范围”这两个前提下进行。否则你学到的东西越深风险越大。2. 全网最全平台汇总从哪些平台练手最靠谱2.1 国内平台怎么选国内几年发展下来漏洞众测和 SRC 体系已经相当成熟对新手相对友好的平台主要有这几类逻辑漏洞众测平台这类平台把企业授权的测试目标聚合在一起让白帽注册后根据平台规则接单或提交漏洞。新手可以看到真实业务也能通过平台审核了解自己的技术水平。特征是目标都经过了授权测试要遵守平台规则报告只交到平台不能公开传播。企业级 SRC许多互联网大厂都有自己的安全应急响应中心漏洞提交入口长期开放。这里非常适合练手因为资产多是大家日常接触到的产品业务场景相对好理解。不过 SRC 通常更偏逻辑类漏洞需要一定的分析能力。综合性社区除了众测网关还有很多以技术交流和漏洞报告分享为主的社区可以提供学习资料、工具下载、实战案例复盘是新手获取思路的好地方。如果你非要我推荐几个有代表性的名字常见的包括补天、漏洞盒子、火线平台以及各家厂商 SRC 和 CNVD/CNNVD 这类通用漏洞库。每个平台的规则、奖励机制、审核速度都存在差异没必要“全都要”选一个主攻配套两个辅助观察就可以。2.2 海外平台值得关注吗海外平台近几年发展比国内更规范代表性比较强的有 HackerOne、Bugcrowd、Intigriti 和 Synack。这些平台面向全球白帽提供大量境外企业的授权测试项目。客观说海外的报告标准、漏洞定级和审核流程相对成熟项目场景也更丰富。特别是你如果有英语基础看看海外平台的规则和公开报告对建立正规思维方式帮助很大。不过海外平台会有身份认证、税务信息、支付方式等门槛新手不必强求可以先注册账号拿几篇公开报告当教材看不急着提交。2.3 怎么判断一个平台是否适合自己我总结了一个非常简单的“平台筛选三步法”。第一步看规则先通读平台的服务协议、测试范围、漏洞定级标准。如果平台的规则含糊不清或者连“允许测什么”“不允许测什么”都不写明白直接避开。真正负责的平台规则一定写得非常仔细。第二步看范围进入平台后先只挑那些有过授权声明的公开目标不要碰任何没有明确写出来的资产。有些业务明显是外包方、合作方甚至个人搭建的即使域名相似也不要扩展到上游或旁路。第三步看审核反馈提交一个真实发现以后观察平台回复的速度、沟通的专业度。好的平台会给你详细的定级理由和改进建议差的平台可能石沉大海。对新手来说反馈比金钱重要。我建议新手可以同时在两个平台注册但不要在初期就大量提交。先把两三个平台规则吃透把一个方向的漏洞研究深效果远好于到处撒网。3. 零基础到入门的实操路线3.1 第一步在靶场里把基本功打牢直接上真实平台不是不行但一个更稳妥的路径是先在本地靶场环境里练习。所谓“靶场”就是专门用于安全学习的、可以随便打的实验系统。这类型的资源很多是开源或公开教材专门供人下载后在自己电脑或服务器上搭建。常见的选择有DVWA极适合入门界面简洁包含了初级到中级的常见漏洞场景WebGoat偏 Web 应用逻辑能帮你理解漏洞背后的业务原理sqli-labs专门练 SQL 注入适合极专注的单点突破Vulhub这个稍进阶一些通过 Docker 一键起多个真实漏洞环境等前面几个练透了再玩。我第一次练的时候就是把这几个环境全部在自己电脑上搭了一遍。DVWA 全难度打通过sqli-labs 从头到尾刷了一次再回头去看真实业务里的参数感觉完全不一样了。这个过程没人能替你完成跨过去之后理解报告、阅读代码都会轻松很多。3.2 第二步搞清楚测试目标到底是什么在靶场里练了一段时间就可以去真实的众测平台观察了。但你真正要做的第一步不是“开扫”而是“看范围”。打开平台任意一个项目先去找这几项信息项目允许测试的域名、IP 段或 App 标识明确排除在外的资产比如后台、第三方 CDN、合作方域名测试的时间限制和频率限制禁止测试的类型比如部分平台不允许 DoS、不允许爆破目录。这一步看起来没有技术含量却是所有安全操作的“保险”。很多从业者翻车都是因为忽略了这个环节。哪怕你已经有了平台账号平台标题里写了授权也绝不意味着你可以把测试范围扩大。3.3 第三步只研究一个漏洞方向先做出“有效提交”新手最容易走进的死胡同是用扫描器把目标扫一遍看看结果里有哪个像漏洞就提交哪个。真正可持续、可成长的做法是反过来的先选定一个你熟悉的方向再去看目标里哪里可能存在这个方向的问题。举个例子如果你把靶场里的认证逻辑做透了那你在真实项目里可以直接把注意力放在登录、找回密码、验证码、会话保持这些点上。你对这个方向了解得足够细就越可能发现其他人没注意到的细节漏洞。一个有效判断标准是你的报告里要能说清楚“漏洞产生的原因”和“影响”而不只是丢一个现象截图。平台上的初级漏洞报告比如一些逻辑类问题、错误配置、敏感信息泄露确实是新手最好的突破口。因为这类问题不需要复杂的利用手段但需要扎实的理解和细致的观察。能把一个看似“低级”的逻辑问题讲明白往往比笼统的“可能有个 SQL 注入”更能看出一个人的水平。4. 写得一手好报告是这行最被低估的硬实力4.1 报告不是记事本是交付物很多人以为漏洞报告就是把问题描述一下截图贴上就完事了。其实在众测平台和安全团队眼里一份报告就是你的“产品”。平台审核人员每天要看大量提交他们不会替你去猜你发现了什么更不会为了你的不清晰表达花时间做二次验证。一份合格的漏洞报告至少要有这样几个部分标题清楚写出“哪个系统、哪个功能、什么类型的漏洞”。一眼能看懂是基本要求。详细描述按步骤列出从登录、点按、构造到复现的全过程每一步都写清条件。截图或录屏是关键证据。影响分析分层次说明这个漏洞能让攻击者做到什么能影响哪些用户或数据资产。不要夸大也不要隐瞒。修复建议提出有操作性的修复方案哪怕只是“建议对参数做校验”这样一句话也比什么都不写强。报告里最忌讳的是只写“经过测试发现存在漏洞详情见附件”。审核员根本不会欣赏这种“留一手”的做法。倒是你就当自己在给同事写交接说明把话说清楚什么问题都好聊。4.2 漏洞定级和积分怎么理解一般平台会把漏洞按严重程度分成低危、中危、高危、严重几个档位具体标准差异很大。新手看到别人一个高危报告能拿好几万自己提交一堆低危却被忽视心态容易崩。我给你一个定心丸低危漏洞是新手真正的练兵场。一个漏洞被评为低危不代表你的能力差反而说明你在基础审计上有了判断力。大量低危问题积累起来平台会把你的信誉度调高之后你提交高价值漏洞的时候审核速度和权重会明显提升。不要眼高手低一个劲想找“严重漏洞”。真正严重的问题往往藏在你最开始根本留意不到的配置项、边界逻辑和业务流中没有大量低危问题的“手感”积累你是看不出来的。5. 我踩过的坑和独家避坑技巧以下这些坑我几乎都亲眼看到有人踩过也有一部分是我自己踩过的。整理成速查表新手直接对照检查。5.1 最容易出问题的坏习惯不经授权乱扫这是最危险的一类。看到某个站就顺手扫一下以为“我只是看看没有破坏”实际上已经违反了平台和法律规定。不管在哪里这个坏毛病一定要改。扫描器全量梭哈一上来就把目录扫描、端口扫描、漏扫全部打开搞出来的噪音巨大。一是容易被对方防御系统拦截二是误报太多根本没法看。把漏洞证据发到朋友圈哪怕你不是出于炫耀只是“随手记录”也要避免将真实业务漏洞信息外传。平台对你报告的处理通常默认不公开你自己不能成为那个泄密的渠道。为了奖励而测心态一旦变成“这个肯定有钱拿”你的判断力就开始失真。明明是个中危你非要往严重方向写明明影响有限你偏要说得天花乱坠。审核不是傻子这种报告很快会被标记严重的会导致账号信誉下降。绕过平台自己联系厂商有些人在平台里发现漏洞就想“直接找甲方私下拿好处”。结果要么甲方不理会要么因为流程问题被平台拉黑。所有沟通和奖励流程都走平台别自作聪明。5.2 一些可能帮到你的小习惯每测一个重要功能先记录一下“输入参数、操作路径、返回结果”。等要补报告的时候这些记录就是最好的素材。截图和录屏要带上时间戳和完整 URL证明你在该项目授权范围内复现能省掉很多不必要的解释。平台里的公开报告、已修复报告值得反复读。很多审阅员的评论里会写“为什么定这个等级”“为什么驳回”这些信息极其值钱比看一百篇教程都有用。保持学习节奏比突击更重要。我见过很多人和我一样刚开始异常热情恨不得通宵刷题但过了两周基本上就放弃了。与其这样不如每天固定半小时复盘一条报告或看一个漏洞原理效果反而稳定。6. 入门以后这条路能不能一直走下去聊点实际的很多人关心“挖漏洞”能不能当职业。我是这样看的靠漏洞挖掘直接养活自己确实有但比例不高。大多数人的路径是先通过一段时间的漏洞研究积累能力和信誉再去安全公司或大厂做安全工程师也有一部分人走的是“主业做开发/运维副业研究安全”的路线这也很合理。漏洞挖掘这个方向真正的价值在于它强迫你从“使用者”变成“审视者”。它会逼你去读文档、看代码、理解协议、猜测业务逻辑这些东西在任何技术岗位上都特别稀缺。哪怕你最后不做专职安全这个过程沉淀下来的思考方式也会很有用。有一点我可以确定在这个领域信任是唯一的长期资产。你怎么对待授权边界、怎么对待报告质量、怎么对待平台规则都会在一次次动作中被记录和放大。保护好这个资产比多提交几个漏洞重要得多。就我个人经验来说入门阶段最值得投入的不是到处找平台、找漏洞而是沉下心来把一个靶场玩透把一份报告写到没有废话。这个阶段的积累决定不了你的上限但能决定你摔跤时摔得多轻。