内容摘要：我花了一个通宵，只拿到一个低危。那是个政府网站，SQL注入点藏在搜索框里，过滤了空格和关键字，但没过滤注释符。我试了`/**/`绕过，不行，又试了tab，还是不行。最后用`%0a`换行符，居然过了。那

我花了一个通宵，洞挖只拿到一个低危。掘教那是洞挖个政府网站，SQL注入点藏在搜索框里，掘教过滤了空格和关键字，洞挖但没过滤注释符。掘教我试了`/**/`绕过，洞挖不行，掘教又试了tab，洞挖还是掘教不行。最后用`%0a`换行符，洞挖居然过了。掘教那一刻我意识到，洞挖src漏洞挖掘拼的掘教不是工具多先进，而是洞挖你对协议和解析差异的理解有多深。

先说说信息收集。别一上来就扫目录，那是新手干的事。打开目标站点，先看它的功能点——注册、登录、密码找回、上传、搜索、支付，这些是漏洞高发区。我见过有人用awvs扫了一整天，结果连个未授权访问都没发现，而隔壁老哥手动点了两下“忘记密码”，直接越权重置了管理员账号。工具是辅助，脑子才是主力。你得像攻击者一样思考：这个功能背后调了什么接口？参数有没有校验？返回包有没有泄露敏感字段？

有个案例我记得很清楚。某电商平台的优惠券领取接口，参数是`couponId`和`userId`。正常逻辑是只能领自己的券，但把`userId`改成别人的ID，就能替别人领——这不算啥，真正的问题是响应里带着用户的手机号和地址。你只需要写个脚本遍历ID，一天能扒几万条数据。这种漏洞在src平台往往能评中高危，因为涉及批量数据泄露。关键点在于，你得懂得看响应包，别只顾着看状态码200就完事。

再说说逻辑漏洞。这类漏洞最考验耐心，也最容易被忽略。比如支付流程，很多人只测金额能不能改成负数，却忽略了“订单状态”这个字段。我挖过一个小程序商城，下单后抓包，把`status`从`unpaid`改成`paid`，服务器居然直接发货了。更离谱的是，改完还能申请退款，钱原路返回，货还在路上。这种漏洞平台审核员很喜欢，因为危害明确且复现简单。但你要注意，别为了验证漏洞真的把货收了，那样容易惹麻烦，点到为止。

上传漏洞现在没那么好挖了，但总有漏网之鱼。重点看文件类型校验是白名单还是黑名单，是前端过滤还是后端过滤。有一次我遇到个图片上传点，后缀名查得死死的，但没检查文件头。我直接把一个php马改成jpg后缀，然后用burp抓包，把文件内容开头加上`GIF89a`，再改回`.php`上传——居然过了。服务器解析时没管文件头，直接按后缀执行了。那是个小型OA系统，最后拿了shell，但src平台不让深入，点到getshell就提交了。记住，别做越界的事，拿证明截图就收手。

还有个容易出分的地方是越权。水平越权和垂直越权都算。测垂直越权很简单，注册个普通账号，然后试着访问管理员的接口。有些系统后台和前台共用一套token，只是前端隐藏了按钮。你把URL里的`/user/`改成`/admin/`，说不定就进去了。水平越权更隐蔽，比如订单查询接口，参数是`orderId`，你改成别人的订单号，如果响应里出现别人的姓名住址，那就是漏洞。这类问题在金融和政务src里特别多，因为他们的开发经常只校验登录态，不校验资源归属。

最后提醒一句：挖src别死磕一个点。一个功能测了半小时没进展，果断换方向。我见过太多人卡在SQL注入上，非要绕waf，绕了两小时还是不行，其实换个上传点五分钟就出洞了。漏洞是分布式的，这个点堵死了，另一个点可能开着门。保持节奏，比死磕重要得多。当然，每个漏洞提交前，一定自己多验证几遍，别提交个复现不了的，浪费审核员时间，也影响你的信誉。