# SRC 实战挖洞 Playbook

目标：稳定产出 **可过审、有奖金预期** 的洞，而不是堆低危噪声。
对齐：MyuriKanao/src-hunter-skill 五阶段 checkpoint + 国内补天交付习惯。

## Phase 1 — Intake（接单 / 选厂 / 读规则）

**进入条件**：用户给出目标、厂商或平台项目。

1. 平台项目是否在保、奖金说明、是否众测限时
2. 范围：主域、子域、APP、微信小程序、开放 API、IP 段
3. Out of scope：第三方 SaaS、已废弃系统、DoS、社工、实体
4. 历史公开洞 / 重复雷区（改密、短信轰炸是否收）
5. RoE：账号注册方式、是否提供测试凭证、测试 Header

**Checkpoint（缺一不进 Phase 2）**

- [ ] In-scope 列表
- [ ] Out-of-scope 列表
- [ ] 规则摘要
- [ ] 时间盒

**选厂启发式（高 ROI）**

- 业务重：交易、支付、医疗、政务、教育、物流、B2B 多租户
- 迭代快：常发版、多子域、多微服务网关
- 资产散：多品牌、多活动 H5、老运维后台
- 避开：纯静态站、明显挖穿且无新面、明确不收的类型扎堆

选靶细则：ttack-priority-cn.md

## Phase 2 — Recon（被动优先）

尽量先用 **不主动打业务** 的来源：

- 主站跳转、页脚备案/友情链接、公众号/小程序外链
- 证书透明度（crt.sh）、历史 DNS
- GitHub/Gitee dork（密钥、测试域名）— 仅公开仓
- 第三方情报（FOFA/Shodan 等）按授权与账号条款使用

产出：候选域名/IP 清单 + 已知技术线索（来源 >=2 更好）。

## Phase 3 — Enum（主动探测，控噪音）

产出活资产矩阵：域 -> 端口 -> 服务/标题 -> 指纹 -> 关键 JS/API。

1. 存活与标题、技术栈、WAF
2. 入口分类：用户站 / 商户后台 / 运营后台 / App API / SSO / 文件导出 / 支付回调
3. 画信任边界：浏览器不可信 -> 网关 -> 服务 -> 跨租户数据

本地习惯：手工浏览 + 代理（Yakit/Burp）为主；目录扫描仅在已确认 web 根且规则允许时 **小字典**。
资产工具参考：bit4woo/domain_hunter_pro、p1g3/JSINFO-SCAN（思路级）。

指纹命中国产 OA/中间件时，再查公开历史利用面并 **亲手验证**，禁止直接对着生产打破坏性 exploit。

## Phase 4

> 先读 r/003.txt 找鉴权/归属缺口；payload 类再进 r/014.txt。提交前 r/016.txt。
 — Hunt（高价值优先）

按 r/010.txt + ttack-priority-cn.md 排序，不按扫描器数量：

| 优先级 | 面 | 为什么 |
|--------|----|--------|
| P0 | 鉴权与多租户 IDOR/越权 | 国内 SRC 大户，危害直观 |
| P0 | 未授权后台 / 高敏 API | 无登录即业务数据 |
| P0 | 支付/积分/优惠券/结算逻辑 | 资金与作弊 |
| P0 | 文件上传/导入/模板渲染 | 常进 RCE 或 SSRF |
| P1 | SSRF / 回调 URL / 富文本 | 进内网或存储 XSS |
| P1 | 导出、消息、工单中的水平越权 | 批量隐私 |
| P1 | 忘记密码、绑定手机、OAuth | 账号接管链 |
| P2 | GraphQL/API 批量查询 | 缺字段级鉴权 |
| P3 | 反射 XSS、CORS、纯信息泄露 | 需能讲清利用才交 |

**刻意少做**：全站无脑 XSS、只缺 CSP/Cookie 标志、无业务意义的 CRLF。

### 开发者视角假设

- 鉴权在网关还是业务？换 id/orderNo/tenantId 会怎样？
- 状态机能否跳步？
- 前端隐藏参数后端是否信？
- GET 有鉴权，PUT/DELETE/导出是否漏了？
- 测试/调试参数是否残留？

### 验证与证据

1. **最小 PoC**：能证明即可（见 RoE 样本控制）
2. 双号测试越权；支付类控制损失
3. 固定：时间、账号角色、完整请求、关键响应、步骤截图
4. 5 分钟无信号换入口；约 1 小时无进展换系统
5. 发现 A 后 **cluster** 同控制器兄弟接口

链式思维：

`	ext
IDOR 读 -> 同接口写/删
开放重定向 -> OAuth code 偷
SSRF -> 云元数据/内网管理
存储 XSS -> 管理后台会话（非 HttpOnly 时）
未授权列表 -> Maintain/Export/Publish 是否同样裸奔
`

技术手法可借 $ctf-web / $web-js-reverse / $yakit-mcp；**交付仍走本技能**。

## Phase 5 — Report（写报告与提交）

1. 用 
eport-template.md
2. 标题含厂商+类型+位置；危害段写业务语言
3. 自检 utian-src-norms.md 拒因表
4. 一洞一报；强相关链可合并但结构清晰
5. 提交后：待补充只补证据，不抬杠

## Phase 6 — Follow / 复盘

- 过/拒/降级原因记一条
- cluster 是否还有第二洞
- 不把生产包、真实 PII 留在公开仓库

## 与 CTF 流程的差别

| CTF | SRC 实战 |
|-----|----------|
| 目标 flag | 目标业务危害与过审 |
| 可炸环境 | 禁止破坏 |
| 全自动爆破常见 | 粗暴自动化易封+易拒 |
| 写 exploit 拿 shell 即终点 | 最小证明+修复建议+合规 |
| 范围=题目 | 范围=政策+法律+平台 |

技术上可复用 web 手法；**流程与交付以本 playbook 为准**。
