企业官网建设流程全解析

新手挖 SRC 容易踩的坑，提高漏洞提交通过率

免责声明：本文仅用于 SRC 白帽学习，所有漏洞挖掘操作，必须严格在厂商 SRC 授权范围内进行。严禁对未授权资产进行扫描、爆破、批量遍历数据；禁止进行破坏性测试，遵守《网络产品安全漏洞管理规定》与平台规则。

前言

很多新手上手 SRC，拿着 Xray、Burp 一通扫描，提交一堆漏洞，结果大部分被驳回、标记重复、判定为无效低危，账号信誉下降，真实漏洞审核变慢。
SRC 审核人员每天要处理上百份报告，不是扫出来就算漏洞，能稳定复现、有实际业务危害、证据完整，才会被收录。
本文整理新手挖洞、验证、提交全流程高频踩坑点，同时给出可落地的改进方法，提升漏洞通过率。

一、挖洞前：授权与范围坑（最严重，甚至违规）

坑 1：不看 SRC 规则，直接乱测

每个厂商 SRC 都写了允许测试域名、禁止操作行为、排除资产。很多新手直接忽略，上来扫主站、爆破账号、批量遍历用户 ID。

• 禁止行为举例：暴力破解、DOS、批量爬取用户数据、测试第三方供应商资产；
• 排除资产：CDN、第三方登录、第三方小程序、广告域名，这类资产漏洞厂商不收录。

✅ 正确做法：

1. 注册 SRC 第一件事，通读安全公告、收录范围、禁止行为；
2. 只在 Scope 域名内测试，不在禁止时段扫描；
3. 测试前截图留存官方授权范围，避免后续争议。

坑 2：目标选错，死磕大厂主站

大厂主站防护完善，WAF、代码审计、安全巡检常态化，新手很难挖到有效漏洞，大量时间白白浪费。
✅ 思路：新手优先选择二级子域名、测试站、dev/test 后台、营销活动站点，或者中小厂商 SRC 练手；等熟悉报告撰写和漏洞验证，再尝试大厂。

坑 3：扫描无节制，高并发、业务高峰期扫描

直接拉满 Xray/Burp 并发，白天业务高峰期大量发包。
后果：触发 WAF 拉黑 IP、业务卡顿，厂商直接判定为破坏性测试，漏洞直接驳回，严重会封号。
✅ 控制并发，尽量凌晨低峰期扫描；发现响应异常立刻停止发包。

二、漏洞挖掘阶段：分不清真实漏洞和伪漏洞（驳回重灾区）

坑 1：直接提交扫描器原始告警，不人工复核

新手最大通病：Xray 扫出告警直接复制报告提交。扫描器输出的只是线索，不是漏洞，大量盲注、XSS、版本指纹都是误报。
典型无效提交：

• 仅 DNSlog 收到请求，没有实际回显、无法执行命令，直接提交 RCE；
• 时间盲注仅单次延时，没有多次对比基准请求，网络波动导致的假阳性；
• 仅检测到 Web 服务版本老旧，但厂商已经打补丁，只是版本号未更新。

✅ 验证标准：

1. 拿到扫描 payload，放到 Repeater 手动重放，稳定复现；
2. 增加基准请求对比，排除网络、服务器负载带来的误报；
3. 确认漏洞可产生实际危害，而仅仅是页面报错。

坑 2：把产品 BUG、页面展示问题当成安全漏洞

很多新手提交页面排版错乱、404 提示、按钮无效、静态页面报错。这类属于产品功能 bug，不属于安全漏洞，直接忽略。
还有 Self-XSS：必须用户手动复制粘贴 payload 才能触发，无法被攻击者诱导自动执行，绝大多数 SRC 不收录。

简单判断：攻击者是否可以在不诱导用户手动操作的前提下，造成数据泄露、越权、资金损失、账号接管。不能，则大概率不属于安全漏洞。

坑 3：重复提交、拆分成多条报告刷数量

同一个接口同类型越权，或者同一个备份文件泄露，拆成多条报告提交，想多拿赏金。SRC 审核规则里，同类漏洞会合并，多余报告标记重复，还会降低账号信誉。
反过来：多个不同 URL 的同类型漏洞，可以合并成一份报告，统一写影响范围，赏金通常不会减少。

坑 4：测试越权、接口遍历，批量爬取大量用户敏感数据

测试水平越权时，循环遍历大量用户 ID，一次性拿到几十上百条用户手机号、订单信息。

重大风险：批量拉取大量敏感数据，属于超出安全测试边界，厂商会直接驳回，甚至判定违规。
✅ 验证越权：仅选取 2~3 个不同账号 ID 做验证，证明漏洞存在即可，不要批量导出全部数据。

坑 5：第三方资产漏洞提交

很多站点引入第三方 SDK、第三方表单、第三方小程序，你挖到漏洞提交，厂商回复：该资产不属于我方维护，不予收录。
✅ 提交前确认域名归属，只提交厂商自有资产。

三、漏洞定级坑：乱拔高漏洞等级，直接降档 / 驳回

新手容易高估漏洞危害，把低危信息泄露直接标记高危，审核人员重新定级，甚至直接忽略。
常见定级踩坑：

1. 普通目录泄露、phpinfo、无敏感信息的 git 源码泄露 → 一般低危，不能标高危；
2. 普通无敏感操作的 CSRF（仅订阅、增加浏览量），大部分 SRC 判定无效；
3. 普通 URL 跳转，无法配合钓鱼、无法携带敏感信息，低危或忽略；
4. SSRF 只能访问公网，无法访问内网资源，很多平台不计入高危。

✅ 定级思路：提交前对照该 SRC 官方评分标准，按实际危害定级，不要虚高；宁可稍微保守，不要夸大危害。

四、报告撰写坑：证据不全，审核员无法复现（最常见驳回原因）

审核员每天处理大量报告，如果照着你的步骤无法复现漏洞，直接驳回。

坑 1：报告过于简略，缺少关键信息

一句话报告示例：网站存在SQL注入，请求包如下，没有分步操作、没有截图、没有证明危害。审核员需要自己摸索，直接忽略。

坑 2：截图只截成功结果，缺少完整请求包、原始响应

只放结果截图，没有 Burp 原始请求响应包。漏洞提交，请求包 + 响应包是核心证据，截图是辅助。
比如越权漏洞，必须提供：账号 A 正常查询包、替换 ID 为账号 B 后的请求包、返回 B 用户数据的响应。

坑 3：复现步骤逻辑跳跃，省略前置条件

典型：JWT、Cookie 鉴权类漏洞，报告直接放 payload，没写怎么拿到有效 Cookie/JWT；业务漏洞跳过登录步骤，审核员无法复现。

✅ 一份合格 SRC 报告必备结构：

1. 漏洞标题：简洁清晰，例如：某接口水平越权，可查询其他用户订单数据；
2. 影响资产：完整 URL，明确属于厂商 SRC 收录范围；
3. 漏洞简介：一句话说明漏洞原理和危害；
4. 复现步骤：按顺序，从登录开始，一步一步，任何人都可以跟着操作；
5. 漏洞证据：Burp 原始请求包、响应包，关键页面截图；
6. 危害描述：写清楚攻击者能拿到什么数据，会造成什么业务损失；
7. 修复建议：可落地，不要只写 “加强过滤” 这种空话。

小技巧：写完报告，自己清空 Cookie，从头完整复现一遍。如果自己都跑不通，审核员肯定也无法复现。

坑 4：AI 一键生成报告，未经人工核对

直接用 AI 生成漏洞报告，复制提交。很多厂商 SRC 公告明确说明：AI 生成报告必须人工验证；纯 AI 生成、没有人工验证证据的报告直接驳回，多次提交会影响账号信誉。
✅ AI 可以辅助写初稿，但请求包、截图、复现过程、危害描述，全部人工核对修改。

五、验证漏洞时的细节坑，导致证据无效

坑 1：漏洞依赖临时环境，提交前漏洞已经修复

挖到漏洞之后，拖很久才提交，厂商迭代上线，漏洞已经修复，提交直接标记无法复现。
✅ 挖到漏洞立刻保存完整请求包、截图，尽快提交；提交前，再重放一次确认漏洞仍然存在。

坑 2：混淆 “理论可行” 和 “实际可利用”

仅 DNSlog 收到请求，没有进一步操作，直接提交命令执行；或者只能在本地环境触发，线上无法利用。大部分 SRC 不收录纯理论漏洞。

一句话判断：攻击者拿到这个漏洞，能不能拿到数据、执行操作。仅仅触发 DNSlog 外带，不算完整可利用漏洞。

坑 3：忽略 WAF 临时放行，误判漏洞永久存在

测试时自己 IP 被临时放行，payload 可以执行；换一个 IP 测试直接被 WAF 拦截。提交漏洞之后，审核员使用其他 IP 无法复现。
✅ 换 IP、清除缓存，多次验证，确认不依赖 IP 白名单。

六、提交之后：跟进沟通的坑

坑 1：提交报告后，不再关注留言

审核员留言补充材料，长时间不回复，报告直接标记忽略。
✅ 提交后定期查看 SRC 站内消息，审核人员需要补充证据时，尽快提供。

坑 2：和审核人员争执，坚持错误定级

审核员降级或者判定忽略，新手直接和审核争论，坚持自己的定级。
✅ 可以礼貌询问驳回原因，学习评分规则；不要硬杠。如果确实有遗漏证据，补充请求包和截图，重新评估。

坑 3：提交前在公开社区泄露漏洞细节

在 CSDN、抖音、微信群提前发布漏洞细节，厂商收到报告发现漏洞已经公开，可能直接不予收录。

遵守漏洞披露规则：厂商修复完成后，经过许可，再公开研究文章。

七、新手挖洞推荐思路，提升有效漏洞产出

1. 优先挖掘业务逻辑漏洞：水平 / 垂直越权、未授权访问、验证码复用、重复领取优惠券 / 签到，这类漏洞 WAF 很难拦截，新手更容易稳定拿到有效漏洞，通过率高于注入、XSS；
2. 先用 Logger++ 收集全流量，挖掘隐藏接口，再手工在 Repeater 验证；
3. 扫描器只作为线索收集，所有告警必须人工复现；
4. 同一站点先收集一批接口，统一验证，同类漏洞合并一份报告；
5. 提交前对照该 SRC 的评分标准自查一遍。

八、快速自查清单（提交前必看）

• 目标域名属于 SRC 官方收录范围，不属于第三方资产；
• 漏洞人工多次复现，不是扫描器误报；
• 不依赖临时 IP 放行、临时会话；
• 没有批量爬取大量用户敏感数据，验证仅少量样本；
• 报告步骤完整，包含原始请求包、响应包、截图；
• 漏洞定级对照平台规则，没有夸大危害；
• 漏洞还未修复，提交前重放确认仍然存在；
• 没有在公开平台提前泄露漏洞详情。

九、拓展方向

熟练 SRC 提交流程之后，可以持续沉淀：

1. 整理各类漏洞的 POC 模板和报告模板，减少重复撰写时间；
2. 学习业务逻辑漏洞挖掘思路，这是新手中高危漏洞主要来源；
3. 学习漏洞复核方法，区分误报，减少无效报告占用账号提交额度。

如何系统学习网络安全？

网络安全作为数字时代的核心技术基石，已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线，掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。

构建稳固的网络安全能力是一个体系的工程，需要从夯实基础理论出发，持续深化到攻防对抗与应急响应的实战层面。

如果你是准备学习网络安全（黑客）或者正在学习，我可以把我自用的360独家内部资料分享给你，包含以下内容你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】