# 实战攻击类 Playbook 索引（补天 / SRC）

> 结构对标 MyuriKanao/src-hunter-skill 的 19 playbook + Claude-BugHunter 的 hunt-* 分类。  
> **本文件是路由表**：告诉你先打什么、证明到哪停、报告怎么定调。  
> 具体 payload 手法借 `$ctf-web` / `$yakit-mcp` / 上游 playbook 按需 Read，禁止无脑全库灌入。

## 使用方式

1. Phase 3 指纹/JS/API 出信号  
2. 按下表选 **1 个主类**（最多再挂 1 个链）  
3. 最小 PoC → `r/007.txt` → 报告  
4. 成功后 cluster 同控制器 15 分钟  

## 路由表

| 信号 | Playbook | 最小证明 | 常见定级 | 技术路由 |
|------|----------|----------|----------|----------|
| 后台/接口无 Cookie 也能进 | 未授权访问 | 列表/详情/配置可读 | 高~严重 | 手工 + 代理 |
| 仅换 id/orderNo/userId | 水平越权 IDOR | 双号交叉读/写成功 | 高~严重 | 双号 + 对比包 |
| 普通用户调管理接口 | 垂直越权 | 管理动作成功（自有测试数据） | 高~严重 | 角色矩阵 |
| 支付/券/积分/状态机 | 业务逻辑 | 价格/状态被非法改变 | 高~严重 | 抓包改参 |
| 重置密码/绑定/OAuth/JWT | 账号接管 | 测试号被接管或强制登录 | 高~严重 | `$web-js-reverse` 常有 |
| url/callback/preview/import | SSRF | OOB 或内网/元数据回显 | 高 | `$ctf-web` SSRF |
| 上传/导入/模板 | 文件上传 | 落盘公网可读或解析漏洞 | 中~严重 | 类型绕过控范围 |
| 入参进 SQL | SQLi | 报错/布尔/时间 + 版本或库名 | 高~严重 | 窄范围 sqlmap |
| 回显进 HTML/后台消息 | XSS | 存储到他人/后台触发路径 | 中~高 | 讲清利用链 |
| 路径/文件名可控 | 路径穿越/LFI | 读到配置或源码片段 | 中~高 | 最小文件 |
| 模板引擎报错 | SSTI | `{{7*7}}` 类证明执行 | 高~严重 | `$ctf-web` |
| GraphQL introspection | GraphQL | 越权字段/批量查询 | 中~高 | 字段级鉴权 |
| 富文本/编辑器 | UEditor 等 | config/list/upload 未授权 | 高 | 组件已知面 |
| ASP.NET `.aspx` 参数 | WebForms 逻辑/注入 | ViewState 旁业务参数 | 中~高 | hunt-aspnet 思路 |
| Actuator/Swagger/Druid | 信息泄露→提权链 | env/heapdump/api-docs | 中~严重 | 未授权面 |
| 导出/消息/工单 | 批量隐私 | 越权导出 1–3 行 | 高 | IDOR cluster |
| 竞态/重复提交 | Race | 余额/券多发 | 中~高 | 并发小样本 |
| Host 头/缓存键 | 缓存投毒/Host 污染 | 毒化自有路径证明 | 中~高 | 谨慎 |
| 重置链/验证码/绑定/会话固定 | 账号接管 ATO | 测试号被接管或强制登录 | 高~严重 | `$web-js-reverse` |
| MFA/二次验证可绕 | MFA bypass | 无二次验证完成敏感操作 | 高~严重 | 认证链 |
| 开放重定向 + OAuth | Open Redirect 链 | code/token 可被劫持路径 | 中~高 | 链式 |
| `.git` / 备份 / 源码映射 | 源码/配置泄露 | 可读关键配置或密钥痕迹 | 中~高 | 最小文件 |
| Spring Boot 特征 | Actuator 链 | env/heapdump/route 未授权 | 中~严重 | 未授权面 |
| ASP.NET Handler/ashx | 组件未授权 | 上传/列表/导出无登录 | 高 | `cn-common-surfaces` |

## 国内 SRC 高频「开胡」顺序（单日时间盒）

```text
1. 未授权后台 / 未授权 JSON API / 调试接口
2. 对象级 IDOR（读 → 写/删/导出 cluster）
3. 认证链（重置、绑定、SSO、验证码逻辑）
4. 支付与营销逻辑
5. 上传 + 富文本 + 导入导出
6. SSRF / 回调
7. 注入（有差分信号再深挖）
8. XSS（能讲清业务利用再报）
```

## 明确少报 / 易拒

- 纯缺 CSP、HSTS、Cookie 缺 Secure（无业务利用）
- Self-XSS、Logout CSRF
- 需复杂社工且无存储链路
- 扫描器原文无手工验证
- 停维小站、明显第三方 SaaS（超 scope）

## 链式模板（报告可合并，因果要写清）

```text
未授权列表 API → Maintain/Upload/Publish 同鉴权缺失
IDOR 读订单 → 同接口改地址/发票
开放重定向 → OAuth code/token 窃取
SSRF → 云元数据 / 内网管理（只证明可达）
存储 XSS → 客服/运营后台会话风险
文件上传未授权 → 公网静态目录可读（非马）
```

## 上游深挖（按需，不要整仓 clone 进对话）

- MyuriKanao/src-hunter-skill `r/playbooks/*`
- elementalsouls/Claude-BugHunter `skills/hunt-*`
- 本仓库 `r/010.txt` / `r/002.txt`
