# 高价值攻击面清单（SRC 实战）

黑盒默认：只有 URL / 抓包 / 测试账号。每节：**去哪找 → 怎么证 → 勿做什么**。

## §未授权 / 暴露面

**去哪找**

- 子域：`admin/manage/ops/cms/service/api/gateway/test/dev/stage/oa/vpn`
- 路径：`/swagger` `/doc.html` `/v2/api-docs` `/actuator` `/druid` `/nacos` `/env` `/.git` `/backup` `/phpinfo`
- 国产：致远/泛微/通达/蓝凌/用友/金蝶/海康/大华 等指纹命中后查公开历史面（仍要亲手验证）
- 前端 `app.js`/`config.js` 里的 baseURL、隐藏 host、tokenLogin

**怎么证**

- 无 Cookie 访问管理功能页 + 列表/详情 API 返回业务数据  
- 记录 `recordsTotal`、敏感字段类型、操作人昵称等（脱敏）  
- 写接口：空 body 探是否「未登录」还是业务错误（后者风险高，**不要真执行批量发布/删除**）

**勿做**：真删改生产内容、爆破后台弱口令到锁定、全量导出用户表

## §越权（IDOR / BOLA / 垂直）

**去哪找**

- 参数：`id` `userId` `orderId` `sysNo` `tenantId` `orgId` `fileId` `mobile`  
- 方法不对称：GET 有鉴权，PUT/DELETE/export/print 没有  
- 改响应里的 role 再请求，或并行 `X-User-Id` / 历史 Header  

**怎么证**

- 账号 A token + 账号 B 资源 ID → 读/改成功  
- 垂直：低权访问高权 API 路径  

**勿做**：改陌生人真实订单状态；批量遍历整站用户 ID

## §业务逻辑 / 支付

**去哪找**

- 下单、改价、优惠券叠加、积分兑换、退款、并发抢购、库存  
- 隐藏字段：`price` `amount` `discount` `payStatus`  
- 步骤跳过：未支付 → 查询已发货接口  

**怎么证**

- 小额自测订单；差额可复现即可  
- 竞态用 2–5 并发，点到为止  

**勿做**：套利提现、大规模刷券

## §认证与账号接管

**去哪找**

- 重置密码：host 头、token 可预测、返回 token、验证码不过期/可爆破（低速）  
- 绑定换绑手机、OAuth `redirect_uri`、SSO  
- JWT：`none`、弱密钥、未校验 `aud`/`iss`、密钥从 JS 泄露  

**怎么证**

- 完整链路到「用测试号 B 登录成功」  
- 每步请求包  

**勿做**：对真实用户手机号轰炸验证码

## §SSRF / 回调 / 文件

**去哪找**

- `url` `link` `file` `path` `callback` `notify` `imageUrl` `import` `preview` `proxy`  
- 文档预览、邮件抓图、Webhook 测试按钮  

**怎么证**

- 打到自己的 httpbin/dnslog 或云 metadata 只读路径  
- 文件读：`/etc/passwd` 或已知配置一角即可  

**勿做**：内网横向扫全段、写 webshell、改配置

## §信息泄露（仅当能升级）

- 堆栈含绝对路径/SQL/密钥  
- heapdump、`.env`、swagger 全量内部接口  
- 单独「目录列表无敏感」通常不报；能链到未授权或密钥再用  

## Cluster 模板

发现 `/Topic/QueryTopicList` 未授权后 15 分钟内检查：

```text
同控制器：Create/Update/Delete/Publish/Export/Detail/Maintain
同前缀：/Topic/* /Home/* /Api/*
同参数：sysno / id 遍历只读 1–2 个自有或公开 ID
鉴权差分：有 Cookie vs 无 Cookie vs 过期 Cookie
```
