新手必看｜SRC平台漏洞挖掘全攻略（2026 干货版）：平台详解+规则必记+实操步骤
对于网络安全新手、计算机相关专业学生，以及想转型安全领域的从业者而言，SRC平台是合法练手、积累实战经验、衔接职场的核心载体。
不同于未授权的“野站”测试，SRC平台（安全应急响应中心）是企业官方授权的漏洞接收与奖励平台，既能规避法律风险，又能通过实战锤炼技术，甚至赚取赏金补贴学习。
本文全新梳理SRC平台分类、主流平台对比、通用规则（新手高频踩坑点）、零基础挖洞全流程及实战技巧，让纯小白也能快速上手，轻松开启SRC挖洞之路。
一、SRC平台核心认知（新手必懂，先明逻辑再动手）
很多新手入门SRC的第一个误区，是“只知挖洞拿赏金，不懂平台核心逻辑”，导致后续频繁踩坑、报告被拒。先理清3个核心问题，避免盲目跟风。
- 什么是SRC平台？核心价值是什么？
SRC（Security Response Center）即安全应急响应中心，是企业（互联网大厂、金融机构、政企单位等）官方搭建的漏洞接收、审核、修复及奖励平台。其核心价值是“双向共赢”：
- 对企业：通过白帽研究者的实战测试，发现系统、业务中的安全漏洞，及时修复，规避网络安全风险。
- 对新手：在官方授权范围内合法挖洞，积累真实业务场景的实战经验，赚取赏金，完善简历，为进入安全行业铺路。
核心提醒：SRC挖洞的前提是“合法授权”，所有操作必须在平台规则范围内进行，这是新手区别于“黑产”的核心底线。
- SRC平台分类（新手精准选平台，不做无用功）
国内SRC平台主要分为3大类，新手可根据自身基础选择，无需盲目注册所有平台，深耕1-2个即可快速出成果。
- 企业SRC平台：企业官方独立搭建，仅接收自身业务相关漏洞（如字节跳动SRC、美团SRC），奖励高、含金量足，适合有一定基础后进阶。
- 第三方众测平台：整合多个企业的漏洞需求，规则统一、审核规范，无需单独对接企业，漏洞类型丰富，门槛低，适合纯小白入门。
- 公益类SRC平台：主要面向高校、公益机构，以积累经验、获取荣誉证书为主，赏金较少，审核门槛稍高，适合新手补充实战经历。
- 新手选择SRC平台的3个核心标准
新手选平台，重点看3点，避免踩坑：
- 门槛低：无资产权重要求、无过多技术限制，纯小白可直接上手。
- 审核快：1-7天内反馈审核结果，审核不通过会说明原因，方便新手针对性改进。
- 漏洞适配：低危漏洞（信息泄露、未授权访问）占比高，新手易发现、易验证，快速建立信心。
二、2026新手友好型SRC平台推荐
结合2026年各平台规则更新、审核速度及新手反馈，全新推荐6个平台，方便新手直接选择。
（一）第三方众测平台（纯小白首选）
| 平台名称 | 核心优势 | 新手门槛 | 奖励形式 | 审核周期 |
|---|---|---|---|---|
| 漏洞盒子 | 新手友好度最高，无资产权重要求，低危漏洞多，有新手专属教程 | 无，实名认证即可，纯小白可直接冲 | 现金+积分（积分可兑换实物/工具） | 3-7天 |
| 补天漏洞响应平台 | 合作厂商多，漏洞类型丰富，有详细的漏洞报告模板，新手易上手 | 低，PC/移动百度权重≥1（edu/gov站点无要求） | 现金+KB（KB可兑换现金/实物） | 1-3天 |
| 漏洞银行 | 漏洞难度梯度清晰，专门划分“新手专区”，有专人指导新手提交报告 | 无，实名认证即可，支持APP/小程序测试 | 现金+荣誉证书 | 2-5天 |
（二）企业SRC平台（新手进阶首选）
| 平台名称 | 核心优势 | 新手适配度 | 特色亮点 |
|---|---|---|---|
| 字节跳动SRC | 反馈快，漏洞类型多（Web/APP/小程序），新手易挖到低危漏洞 | ★★★★★ | 有新人专属奖励，审核不通过会给出详细修改建议 |
| 京东SRC | 业务场景丰富，低危漏洞占比高，赏金中等，规则清晰 | ★★★★☆ | 公开漏洞报告质量高，新手可围观学习挖洞思路 |
| 百度SRC | 知名度高，赏金丰厚，适合有一定基础后冲击中高危漏洞 | ★★★☆☆ | 有完善的新手成长体系，可积累大厂实战经历 |
（三）公益类平台（补充推荐）
适合新手积累经验、获取荣誉证书，无需追求赏金，推荐2个：
- CNNVD信息安全漏洞库：国内权威公益平台，提交有效漏洞可获取荣誉证书，适合补充实战经历。
- 教育行业漏洞响应平台：专门面向高校系统，漏洞难度适中，审核规范，适合学生新手。
三、SRC平台通用规则（新手必记，避免白干+违规）
新手挖SRC，80%的踩坑的原因是“未读懂平台规则”——要么报告被拒、白白浪费时间，要么违规测试，被平台拉黑、取消奖励，甚至承担法律责任。以下是所有SRC平台通用的核心规则，记牢再动手，少走90%的弯路。
- 测试范围规则（底线中的底线，绝对不能触碰）
每个SRC平台都会在“规则中心”公示「授权测试资产」和「禁止测试资产」，这是新手必须首先明确的底线：
- 允许测试：平台明确公示的域名、IP段、APP名称、小程序名称，仅可测试这些资产的公开业务功能。
- 禁止测试：未公示的资产（企业内部系统、员工后台、数据库服务器）、第三方依赖资产（合作厂商系统）、用户私人数据（手机号、身份证号、密码等）。
- 新手提醒：提交漏洞前，务必核对漏洞所属资产是否在授权范围内，不在范围内的漏洞，即使挖到也无效，还可能被判定为违规。
- 测试行为规则（只“找漏洞”，不“搞破坏”）
SRC测试的核心是“发现漏洞、证明危害”，而非“破坏系统、窃取数据”，所有操作必须遵循“最小影响原则”，禁止以下行为：
禁止破坏性攻击：如DDoS攻击、暴力破解（无授权）、植入后门、篡改业务数据、删除系统文件，禁止影响企业业务正常运行。
禁止窃取敏感数据：即使发现用户数据、系统配置等敏感信息，仅需截图证明漏洞存在即可，禁止下载、留存、传播敏感数据。
禁止越权操作：测试过程中，仅可验证漏洞危害，禁止利用漏洞进行超出“证明危害”的操作（如登录他人账号后篡改信息）。
禁止使用恶意工具：仅可使用合规的安全测试工具（Burp Suite、Nmap、SQLMap等），禁止使用勒索病毒、挖矿程序等恶意工具。
- 漏洞报告规则（决定审核通过率，新手重点）
很多新手挖到有效漏洞，却因报告写得不规范被拒，核心是“审核人员无法复现漏洞”。所有SRC平台对报告的核心要求是「清晰、完整、可复现」，必须包含6个核心要素：
- 漏洞标题：简洁明了，明确漏洞类型+影响资产（例：【信息泄露】XX域名数据库备份文件可直接下载）。
- 漏洞类型：明确漏洞所属类型（如信息泄露、未授权访问、反射型XSS、SQL注入）。
- 影响范围：明确漏洞影响的资产（域名、IP、APP版本等），避免模糊表述。
- 复现步骤：分点清晰，详细描述操作流程（含URL、操作步骤、Payload），确保审核人员照着做就能复现。
- 截图证明：包含漏洞发现页面、复现过程、漏洞危害的清晰截图（需显示完整URL，避免遮挡关键信息）。
- 修复建议：具体可行，结合漏洞原理给出针对性修复方案（如“增加登录校验”“对敏感数据脱敏”）。
- 其他禁忌规则（避免被拉黑）
- 禁止重复提交：同一漏洞，若已被他人提交，禁止再次提交，重复提交会被扣除积分，甚至拉黑。
- 禁止伪造漏洞：禁止伪造漏洞截图、编造复现步骤，伪造漏洞会被永久拉黑，取消所有奖励。
- 禁止泄露测试信息：禁止在社交平台、技术社区发布SRC测试相关信息（漏洞细节、测试方法、平台规则）。
- 禁止恶意刷漏洞：禁止提交无危害、无效的“伪漏洞”（如简单页面报错、排版问题），影响账号信誉。
四、新手零基础挖洞全流程（全新实操，无重复，可直接照搬）
新手不用急于求成，遵循“基础准备→信息收集→漏洞探测→漏洞验证→报告提交→复盘优化”6个步骤，每天投入1-2小时，1-2个月就能挖到第一个有效漏洞，全程贴合新手视角，避开复杂操作，重点突出实操性。
第一步：基础准备（1-7天，搭好环境，筑牢基础）
核心目标：完成平台注册、搭建测试环境、掌握基础工具使用，避免动手时手忙脚乱，这是新手入门的关键铺垫，无需追求复杂配置。
- 平台注册：优先注册1-2个新手友好平台（漏洞盒子+字节跳动SRC），完成实名认证（多数平台需要实名认证才能领取赏金），重点阅读平台《漏洞收录规则》《禁止测试行为》，标记核心禁忌，避免违规。
- 环境搭建：新手只需安装3个核心免费工具，适配所有SRC测试场景：
- 虚拟机+Kali Linux：安全测试专用系统，自带大量安全工具，避免影响本地电脑（新手可参考CSDN Kali安装教程，1天即可完成）。
- Burp Suite（社区版）：核心抓包、改包工具，用于探测Web漏洞（如XSS、SQL注入），新手重点掌握抓包、改包、Repeater模块使用。
- 浏览器插件：Wappalyzer（识别网站技术栈）、FoxyProxy（配置代理，配合Burp Suite使用），直接在浏览器应用商店安装即可。
- 基础学习：掌握核心基础，够用即可，不用深入研究复杂技术：
- Linux常用命令：ls、cd、cat、nmap、pwd等，用于简单的端口扫描和文件查看。
- 漏洞原理：重点掌握4类新手友好漏洞（信息泄露、未授权访问、反射型XSS、简单SQL注入）的基础原理。
- 工具实操：在B站、CSDN搜索“Burp Suite新手教程”“Nmap新手教程”，1-2天即可掌握基础操作。
第二步：信息收集（核心步骤，挖洞的“地基”，新手易忽略）
信息收集是挖洞的核心前提，很多新手跳过这一步，直接找漏洞，结果挖半天一无所获。信息收集的核心是“摸清目标资产的所有细节”，信息越全，漏洞越容易发现，新手必做5项信息收集，按步骤操作即可。
- 子域名收集：目标主域名下的子域名（如admin.xxx.com、test.xxx.com、api.xxx.com），往往藏着更多漏洞（后台系统、测试环境），新手可用Layer子域名挖掘机、OneForAll工具，输入主域名，导出子域名，逐个访问记录可正常打开的地址。
- 技术栈识别：用Wappalyzer插件，查看目标网站的后端框架（如ThinkPHP、Django、SpringBoot）、服务器类型（如Nginx、Apache）、前端框架，针对性找对应框架的常见漏洞（如ThinkPHP的常见注入漏洞）。
- 端口扫描：用Nmap工具，对目标IP（子域名解析的IP）进行快速扫描，命令：nmap -T4 -F 目标IP，记录开放端口（如80、443、3306、8080），重点关注非默认端口，可能藏着特殊服务漏洞。
- 后台路径探测：用Dirsearch工具（目录扫描工具），探测网站后台路径（如/admin、/login、/manage、/admin/login），同时手动尝试常见后台路径，后台是漏洞高发区（如未授权访问、弱口令漏洞）。
- 资产补充：用爱企查、天眼查查询目标企业信息，用爱站、站长工具查询域名备案、权重信息，辅助判断资产归属，避免测试错资产（不在平台授权范围内，挖到漏洞也无效）。
新手提醒：把收集到的信息按“子域名-技术栈-端口-后台路径”分类记录（可用Word表格），后续漏洞探测时直接对照，避免重复操作，提高效率。
第三步：漏洞探测（新手重点，从“易”入手，快速出成果）
信息收集完成后，进入核心的漏洞探测环节。新手不用挑战高危漏洞（如远程代码执行、0day漏洞），优先聚焦「4类新手友好漏洞」，这些漏洞易发现、易验证、审核通过率高，是新手积累经验的核心方向。
- 信息泄露（最容易挖到，新手首选）
- 探测重点：敏感文件泄露（如/backup.sql、/.git、/config.php、/db.sql）、接口未授权访问、错误信息泄露、数据库备份泄露；
- 实操方法：用Dirsearch扫描网站目录，手动访问常见敏感文件路径，查看页面源码，搜索“password、secret、数据库配置、root”等关键词；
- 案例：访问https://xxx.com/backup.sql，可直接下载包含用户账号密码的数据库备份文件，即为有效漏洞。
- 未授权访问（新手高频漏洞，易验证）
- 探测重点：后台管理面板未授权、接口未校验权限（如查询用户信息、下载文件、查看日志的接口）；
- 实操方法：访问收集到的后台路径、接口地址，看是否无需登录即可进入后台、获取数据，用Burp Suite调用接口，查看返回结果；
- 案例：访问https://xxx.com/api/log/list，无需登录即可查看所有系统操作日志，包含敏感操作记录，即为有效漏洞。
- 反射型XSS（易复现，审核通过率高）
- 探测重点：网站搜索框、登录框、URL参数（如?id=1、?name=test）等可输入内容的位置；
- 实操方法：在输入框、URL参数中插入Payload（如< script>alert(1)< /script>、< img src=x οnerrοr=alert(1)>），用Burp Suite改包测试，能弹出窗口即为漏洞；
- 新手提醒：优先测试简单的反射型XSS，存储型XSS难度较高，新手初期不推荐。
- 简单SQL注入（经典漏洞，易上手）
- 探测重点：登录框、搜索框、URL参数（如?id=1、?id=123），优先测试报错注入；
- 实操方法：在参数后插入简单Payload（如?id=1’、?id=1 and 1=2、?id=1 order by 3），查看页面是否报错，若报错则可能存在SQL注入，用SQLMap工具辅助验证；
- 新手提醒：无需深入利用（如脱库），只要能证明存在注入漏洞即可，避免越权操作，触碰规则红线。
第四步：漏洞验证（关键步骤，避免提交无效漏洞）
探测到疑似漏洞后，不能直接提交，必须手动验证，确保漏洞真实存在、可复现，避免因“误判”导致报告被拒，新手验证需注意3点，缺一不可。
- 重复复现：同一漏洞，在不同浏览器（Chrome、Firefox）、不同网络环境（手机热点、家庭网络）下，重复操作2-3次，确保每次都能复现，避免因偶然因素导致的误判。
- 明确危害：验证漏洞的实际危害，比如信息泄露需确认泄露的是敏感信息（而非无关信息），未授权访问需确认能获取有效数据，避免提交“无危害”的伪漏洞（如泄露无关的静态页面）。
- 留存证据：全程截图，确保截图清晰，包含漏洞URL、复现步骤、漏洞危害，截图是审核的核心依据，建议每一步操作都截图，避免遗漏。
第五步：提交漏洞报告（按模板编写，提高审核通过率）
按照SRC平台的报告模板，结合之前准备的证据，编写漏洞报告，核心遵循“清晰、完整、可复现”的原则。新手可直接套用以下模板（适配所有平台），修改对应内容即可，无需自己编写框架。
SRC漏洞报告模板（新手专用，可直接复制）
- 漏洞标题：【漏洞类型】XX平台（资产）XX漏洞（例：【未授权访问】字节跳动XX子站接口未授权访问漏洞）；
- 漏洞类型：信息泄露/未授权访问/反射型XSS/简单SQL注入（明确填写，不能模糊）；
- 影响范围：XX域名（如xxx.com）、XX接口（如https://xxx.com/api/user/list）/XX后台（如https://admin.xxx.com）；
- 复现步骤（分点，清晰可操作，确保审核人员可复现）：
- 访问目标URL：https://xxx.com/api/user/list；
- 无需登录，直接在浏览器中访问该接口；
- 页面返回所有用户的ID、手机号、姓名等敏感信息，漏洞复现成功。
- 截图证明：上传3-4张清晰截图（1. 目标URL访问截图；2. 复现步骤操作截图；3. 漏洞危害截图；4. 漏洞细节截图）；
- 修复建议（具体可行，针对性强，不能泛泛而谈）：
- 对该接口添加登录校验和权限控制，仅允许授权用户访问。
- 对返回的用户敏感数据进行脱敏处理（如手机号隐藏中间4位、身份证号隐藏中间8位）；
- 限制接口访问频率，防止恶意请求，同时添加接口请求日志，便于后续溯源。
提醒：提交报告前，仔细检查一遍，确保无错别字、复现步骤无遗漏、截图清晰，避免因细节问题被拒；若平台有专属报告模板，优先使用平台模板，修改对应内容即可。
第六步：复盘优化（新手成长的关键，避免重复踩坑）
提交报告后，不是结束，而是新手成长的开始。无论审核通过与否，都要做好复盘，逐步优化挖洞思路和操作技巧，快速提升实战能力。
- 审核跟进：提交报告后，耐心等待平台审核，大厂SRC审核周期1-3天，第三方平台（漏洞盒子、补天）审核周期3-7天，可在平台“我的报告”中查看审核进度。
- 审核不通过：若审核不通过，平台会给出拒绝原因（如“漏洞无危害”“无法复现”“不在测试范围”“报告不完整”），针对性改进，比如补充复现步骤、更换测试资产、完善报告内容，积累经验，避免下次再犯。
- 审核通过：审核通过后，平台会通知，并发放赏金、积分，新手可截图留存，作为自己的实战成果；同时复盘该漏洞的挖掘思路，总结“为什么能挖到这个漏洞”“信息收集时哪个步骤起到了关键作用”“有没有更高效的探测方法”，形成自己的挖洞思路。
- 持续优化：每提交一次报告，无论通过与否，都总结问题，逐步优化信息收集方法、漏洞探测技巧、报告编写能力，每天投入1-2小时，坚持1-2个月，就能实现从“新手小白”到“能稳定挖到低危漏洞”的跨越。
五、新手挖洞核心技巧+高频避坑指南
（一）新手挖洞3个核心技巧（提高漏洞发现率，快速出成果）
- 技巧1：深耕边缘资产，避开主站竞争。新手不要直接攻击企业主站（主站防护严格，漏洞少，竞争激烈，新手很难挖到），优先测试子域名、小程序、APP内嵌H5、旧版系统、新上线业务，这些边缘资产测试者少，漏洞留存率高，新手易出成果。
- 技巧2：关注新上线业务，漏洞率极高。企业新上线的业务、活动页面、新版APP，往往测试不充分，漏洞率是旧业务的3倍以上，新手可关注SRC平台公告、企业官方公告，及时跟进新上线资产，快速挖掘漏洞。
- 技巧3：多看公开报告，模仿挖洞思路。新手初期可多看平台“公开漏洞报告”（如字节跳动SRC、阿里SRC公开报告），学习别人的信息收集方法、漏洞探测思路、报告编写技巧，模仿练习，举一反三，比盲目练靶场更高效，能快速提升挖洞能力。
（二）新手高频8大避坑点（避免白干+违规，必记）
- 避坑1：不看平台规则，盲目测试。未明确测试范围就动手，挖到漏洞不在授权范围内，白忙活一场，甚至可能被判定为违规，影响账号信誉。
- 避坑2：报告写得模糊，无法复现。复现步骤不清晰、截图不完整、Payload缺失，审核人员无法复现漏洞，直接拒绝，白白浪费时间和精力。
- 避坑3：提交无危害漏洞。如简单的页面报错、排版问题、404页面、无关信息泄露，这类“伪漏洞”不会被收录，还会影响账号权重，导致后续报告审核变慢。
- 避坑4：急于求成，挑战高危漏洞。新手直接挑战远程代码执行、0day漏洞、逻辑漏洞，难度太高，不仅挖不到，还会打击信心，建议循序渐进，先从低危漏洞入手，积累经验后再进阶。
- 避坑5：窃取、传播敏感数据。即使发现用户数据、系统配置等敏感信息，仅需截图证明漏洞存在即可，禁止下载、留存、传播敏感数据，否则触碰规则红线，甚至承担法律责任。
- 避坑6：重复提交、伪造漏洞。未查询漏洞是否已被提交，就重复提交；或伪造漏洞截图、编造复现步骤，会被平台扣除积分、拉黑，取消所有奖励，影响职业前景。
- 避坑7：工具使用不熟练，误判漏洞。未熟练掌握Burp Suite、SQLMap等工具，把正常现象（如页面正常报错）误判为漏洞，提交无效报告，浪费时间。
- 避坑8：心态浮躁，半途而废。新手挖1-2天没挖到漏洞就放弃，SRC挖洞需要耐心和细心，坚持1-2个月，必能挖到第一个有效漏洞，心态决定成长速度。
学习资源
为了帮助大家更好的塑造自己，成功转型，我给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂这些资料！
网络安全/黑客零基础入门
【----帮助网安学习，以下所有学习资料文末免费领取！----】
> ① 网安学习成长路径思维导图
> ② 60+网安经典常用工具包
> ③ 100+SRC漏洞分析报告
> ④ 150+网安攻防实战技术电子书
> ⑤ 最权威CISSP 认证考试指南+题库
> ⑥ 超1800页CTF实战技巧手册
> ⑦ 最新网安大厂面试题合集（含答案）
> ⑧ APP客户端安全检测指南（安卓+IOS）
大纲
首先要找一份详细的大纲。
学习教程
第一阶段：零基础入门系列教程
该阶段学完即可年薪15w+
第二阶段：技术入门
弱口令与口令爆破
XSS漏洞
CSRF漏洞
SSRF漏洞
XXE漏洞
SQL注入
任意文件操作漏洞
业务逻辑漏洞
该阶段学完年薪25w+
阶段三：高阶提升
反序列化漏洞
RCE
综合靶场实操项目
内网渗透
流量分析
日志分析
恶意代码分析
应急响应
实战训练
该阶段学完即可年薪30w+
面试刷题
最后，我其实要给部分人泼冷水，因为说实话，上面讲到的资料包获取没有任何的门槛。
但是，我觉得很多人拿到了却并不会去学习。
大部分人的问题看似是“如何行动”，其实是“无法开始”。
几乎任何一个领域都是这样，所谓“万事开头难”，绝大多数人都卡在第一步，还没开始就自己把自己淘汰出局了。
如果你真的确信自己喜欢网络安全/黑客技术，马上行动起来，比一切都重要。
资料领取
上述这份完整版的网络安全学习资料已经上传网盘，朋友们如果需要可以微信扫描下方二维码 ↓↓↓或者点击以下链接都可以领取
点击领取 《网络安全&黑客&入门进阶学习资源包》
文章来自网上，侵权请联系博主
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！
本文转自 https://blog.csdn.net/2402_84205067/article/details/159792468?spm=1001.2014.3001.5502，如有侵权，请联系删除。
)
