Bugbounty Workflow

Bug Bounty 全流程工作流

面向补天/SRC 等授权范围内的漏洞挖掘任务。按 5 个阶段推进:每阶段产出工件、与用户确认后再进入下一阶段。严禁跳过阶段 0。

铁律(全程有效,违反即终止任务)

1. 只测授权资产:目标必须来自补天项目页、厂商授权等书面范围,范围外资产一律不测。
2. 不做破坏性测试:禁止 DoS、删改数据、锁账号、高频扫描。
3. 数据最小化:证明漏洞即可,禁止拖库/批量下载;SQL 注入用 LIMIT 1 或单次时间盲注确认。
4. 证据脱敏:截图打码敏感信息;获取的敏感数据不落盘、不传播。
5. 报告真实:不夸大等级;高危先报,未修复前不公开细节。

工作目录约定

任务开始时在用户工作目录下创建:

bugbounty/
├── 00-scope/scope.md       # 授权与范围确认
├── 01-recon/               # 资产清单、存活、指纹、功能入口
├── 02-scan/                # 扫描结果、候选漏洞清单
├── 03-verify/evidence/     # 验证记录、证据(截图/请求响应)
├── 04-report/              # 最终报告(一洞一份)
└── submit/                 # 每个漏洞一个 zip(附件,≤50M)

平台知识(补天/SRC,详见 reference/butian-submission.md)

1. 专属 vs 公益 SRC:报告"提交平台"栏必须与项目实际类型一致;先向用户确认类型再写报告。专属=厂商私有项目,公益=公众项目。
2. 定级口径(常见):低危 1kb 无积分(druid 未授权、短信/邮箱轰炸、源码泄露、信息泄露、挂黑页等);中危 2-3kb(SQL 注入、越权、XSS、弱口令等;SQLi 提权至 shell 算高危);高危 4kb(命令执行、代码执行、文件上传、可 getshell)。
3. 漏洞类别:Web/IoT/工控/操作系统及通用软件;漏洞类型:事件型/通用型。
4. 平台分类字段(报告"漏洞类型(平台分类)"从中选):XSS、配置错误、弱口令、入侵事件、疑似被黑、文件上传、信息泄露、存在后门、逻辑漏洞、代码执行、命令执行、SQL注入、解析漏洞。
5. 详情要求:完整利用过程+URL+截图+代码+POC,不达标可能审核不过;IoT 需二进制位置/目标配置/研究环境;用到的组件给下载链接或附件上传;视频压缩后附件或链接。
6. 附件限制:仅 zip/rar、≤50M、仅压缩组件/固件/视频;截图在详情中直接上传。

阶段 0:授权与范围确认(强制)

1. 向用户索要:平台项目页链接(补天公益 SRC/专属 SRC 页面)、目标资产、授权说明。
2. 用 WebFetch 打开项目页,记录:资产范围(域名/IP/APP/小程序)、允许的测试类型、禁止事项、提交要求、评级标准。
3. 写入 00-scope/scope.md。不在范围内的资产后续一律不测;范围模糊时先问用户,不自行扩大。
4. 用户无法提供任何授权依据 → 拒绝执行主动测试,只提供学习建议(本地靶场:Vulhub/Pikachu/DVWA)。

阶段 1:侦察

1. 检查工具可用性,缺失则提示安装方式(见文末),有缺失也可用被动方式替代。
2. 执行 bash scripts/recon.sh <domain>(子域收集、crt.sh、历史 URL、存活探测、指纹、Nuclei 扫描;缺失工具自动跳过)。
3. 补充被动收集:
   • 网络空间测绘(用户自有 FOFA/Quake 账号):关联资产、框架指纹、敏感文件。
   • WebSearch:备案信息、GitHub/代码托管泄露(dork:域名 password / apikey / secret)、公开漏洞报告。
   • 手动浏览主站:功能清单(登录/注册/找回密码/支付/上传等入口),截图记录。
4. 指纹识别:重点记录中间件、框架、CMS 及版本,查对应已知漏洞(版本核对到 CVE)。
5. 边缘资产策略(单厂商深度挖掘,详见 checklists/edge-asset-checklist.md):
   • 资产分级:dev/pre/test 环境、后台/OA、API 域、历史废弃资产 → 防护最弱,优先测;核心资产最后测。
   • 子域字典补 dev test pre staging uat oa vpn mail api m wx 等前缀;JS 中引用到的兄弟域名纳入清单。
   • 小程序/APP:抓包拿接口域名,反编译找密钥与隐藏接口。

产出:01-recon/assets.md(资产清单:子域+IP+端口+指纹+状态码)与功能入口清单。 确认点:与用户过一遍资产清单,圈定优先测试目标(默认按边缘资产优先),再进入挖掘。

阶段 2:漏洞挖掘

自动化(结果必须人工复核):

• Nuclei 命中逐条复核,多数是误报。
• 目录扫描(dirsearch/ffuf,限速 -t 20):重点找备份文件、未授权接口、编辑器、.git//.svn/ 泄露。
• JS 接口收集:gau/waybackurls 历史 URL;下载 JS 提取 API 路径与硬编码密钥。

人工测试(核心,逐项对照 checklists/web-vuln-checklist.md):

• 认证:弱口令/默认口令、验证码绕过、短信轰炸、找回密码逻辑
• 越权:水平(IDOR)、垂直
• 业务逻辑:支付/优惠券/流程跳过/并发
• 注入:SQLi、命令注入、模板注入
• XSS、SSRF、文件上传、CORS/未授权、信息泄露

专项策略(按场景对照):

• 边缘资产/dev-pre 环境/小程序/密码重置 → checklists/edge-asset-checklist.md
• 通用 CMS 批量刷洞(备份泄露/后台弱口令/未授权,可提通用型)→ checklists/cms-batch-checklist.md

每个可疑点先记入 02-scan/candidates.md(资产、位置、可疑行为、初步想法),攒够一批再进验证阶段,避免边挖边验打乱节奏。

阶段 3:验证(最小影响原则)

对每个候选逐个验证,方法按类型(详见清单文件"验证与证据"栏):

• SQLi:手工 payload 或 sqlmap 仅确认注入点(--batch --random-agent --level 2,不跑 --dump-all);盲注单次延时确认。
• 越权/IDOR:仅换 ID 确认能访问他人资源,截图即止;不批量遍历、不下载数据。
• SSRF:用 dnslog.cn / interactsh 收带外请求确认;不深入探测内网。
• XSS:弹窗或带外确认即可。
• 文件上传:只传无害探针;证明解析后立即删除,不驻留 webshell。

每个确认的漏洞:

1. 保存证据:请求/响应原文、截图(打码敏感信息)→ 03-verify/evidence/。
2. 写复现步骤(从"未登录/低权测试账号"开始)→ 03-verify/verified.md。
3. 定级:参考平台评级标准 + 实际影响,不虚报。

误报:标注原因后移出候选。 确认点:与用户核对每个已确认漏洞的等级和证据完整性,再写报告。

阶段 4:报告

按 templates/report-template.md 为每个漏洞单独生成 04-report/ 下的报告:

• 标题格式:<系统/站点>存在<漏洞类型>
• 必含:基本信息、描述、复现步骤(带请求包)、危害、修复建议、测试合规声明。
• 基本信息表必须含:漏洞类型(事件型/通用型)、漏洞分类(Web/IoT/工控/操作系统及通用软件)、漏洞类型(平台分类字段)、危害程度(低危1kb/中危2-3kb/高危4kb)、提交平台(专属SRC/公益SRC,与项目实际一致)。
• 提交前检查:描述与实际影响一致、复现步骤审核员可复现、截图已打码、一洞一报。
• 提交前重读平台当前规则(规则会更新);提交后跟进修复进度,修复前不公开细节。

阶段 4 收尾:证据打包(提交附件)

1. 为每个漏洞生成一个压缩包 → submit/BUG-<编号>-<英文简述>.zip。
2. 包内全部用 ASCII 文件名:截图按 01_xxx.png/02_xxx.png 排序重命名,附 curl 原始响应 03_xxx.txt、POC 脚本 poc_xxx.py(标准库、可直接运行)、报告 report_xx.md。
3. 附件限制:仅 zip/rar、≤50M(仅组件/固件/视频);截图在"漏洞细节"里直接上传,压缩包放组件/POC/报告。
4. 打包后校验:列出包内条目确认文件齐全;并给用户输出"每个报告需提交的附件清单"。
5. 平台明示低危无积分(1kb 档)时,提示用户自行决定是否提交。

环境与工具

缺失工具安装建议(WSL2 或 Git Bash;Go 系 go install xxx@latest):

• 侦察:subfinder、httpx、nuclei、gau、nmap
• 挖掘:dirsearch、ffuf、sqlmap、Burp Suite
• 带外交互:dnslog.cn(网页,国内常用)或 interactsh-client

Windows 注意:脚本经 Git Bash 运行;复杂环境建议 WSL2 跑工具链。