2017年总结

转瞬间挖洞九个月了。从当初的一窍不通到现在的懵懂无知，整个人变化了很多，成长的道路上认识了很多朋友，学习安全也有两年有余了，以前的历史就不谈了，咱就总结这一年。

 一个经历的旅程:

2017年3月一个偶然的机会加入ASRC

       2017年3月一个偶然的机会加入D-X安全团队

进入团队，我是写了份简历给单行，当时我运气好团队也比较缺人，我很幸运进群了。

      进群就是一波商业互吹不可避免，当时我进群前的时候属于那种埋头看书缺乏实战的一个人。

慢慢的聊天，队长开始说我们要刷什么漏洞。。然后脑子里就在想，阿里漏洞?

   什么!!!!!!阿里漏洞，我当时的第一反应是阿里怎么会有漏洞。。。我脑子里想的是阿里那么安全，挖到个漏洞是不是很难啊。

     没办法，毕竟一个团队的人了，群里每个人都做贡献，你一个人落单你心里能好受吗?

  答案肯定是难受的，因为每个人都不觉得自己低人一等!

然后

      2017年3月怀着梦想强行走上了挖掘阿里的漏洞的征途上

      万事开头难，我在挖掘的路上碰壁了，第一天我没挖到漏洞，队长和团队成员说没关系，说:有可能运气不好，明天就能挖到了。然后我也是自我安慰我过段时间肯定能挖到的，然后我开始挖掘漏洞，一天天的毫无目的的挖掘我真的受够了，团队里的成员们也开始怀疑我的能力，队长每个月会对提交漏洞的成员进行统计，而我一个漏洞都没挖到，第一个月我很想哭，一个人拖了后腿，我这个人比较喜欢较真，后来因为拖了后腿，没办法，承认自己的确技不如人，技术不如人家，那就学习呗!

    后来把团队的成员大部分人都加了个遍，然后问他们怎么去挖掘漏洞。

事实证明，挖掘src是件很隐私的事情，询问人家思路是损伤人家财路的一件事情，这毕竟是人家财路呀!但是还是有几个大佬给了我点思路，特别感谢那些大佬们!!!!!

     两个月的不懈努力和奋斗，终于迎来了第一个漏洞，当时提交这个漏洞的时候我脑子里是不确定的，真的不确定，我当时脑子在想:已经忽略那么多了。在忽略几个也没事，反正已经厚脸皮成这样了，死猪不怕开水烫

 

 

然后提交没想到漏洞过了，当时我很兴奋，真的很喜悦，我第一时间把我挖到漏洞的事情告诉我团队群里，我真的激动坏了。我终于没有辜负团队人的期望，也没拖团队的后腿，终于是跟上了一点节奏。队长当时也很欣慰，我感觉的出来!

挖了两个漏洞原本应该是很兴奋的事情，但是随着后期的挖掘之后我着实兴奋不起来:

 

 

漏洞各种忽略，各种瞎提交，各种无脑。。哎

            后来遇到了我的安全导师:Mic，刚进群我喜欢叫他M师傅，后来我叫他M大哥。他很奇特，他本身并不是安全工程师，但是他很厉害，在我眼里~!

因为一直挖不到漏洞，一直很难受，跟团队里的人差距太大了，一直在想办法弥补。

       我做了哪些事情?

早上看乌云一个半小时

        下午看乌云一个半小时

把大部分的安全漏洞能看的都看一遍，反复看重复看，各种关键字搜索找奇淫技巧，在我的学习和M大哥的带领下:

我的挖洞情况慢慢变好:

 

 

  我越来越有信心挖掘下去了，M师傅是我的精神支柱，后来每天我都会找M师傅交流技术，我当初一直觉得自己很废，帮不上M大哥什么忙，后来慢慢的在技术探讨和思路分享上，我们都彼此进步并且飞快成长:

这段期间因为挖不到漏洞也去恶意骚扰了一波阿里审核然后慢慢的提交漏洞:

慢慢发生蜕变 

 

慢慢寻找挖掘规律，慢慢积累和学习思路，慢慢的这个账号陆陆续续提交了40多个漏洞!

因为这个账号没有实名认证，得到的奖金没有翻倍计划，后来换了个另一个账号。

每天的学习计划必不可少的就是看乌云漏洞，学习漏洞，学习漏洞思路，并且和群里的大佬们各种技术和思路上的分享和探讨

这是个蜕变的过程我也无法想像，另一个账号从7月份到如今12月份陆陆续续提交了106个有效安全漏洞:

 

  还有部分漏洞没审核，我的进步是大家有目共睹的。单行见证了我的成长，阿里src的审核师傅们见证了我的蜕变。

挖掘漏洞最大的好处是我在学校期间并不是很缺零花钱，帮父母补贴了家用，我很开心，以前父母总是说我一无是处，如今我终于是为了家里做了些事情。我再也不需要为买几本书而没钱头疼，自己还能存一部分应急备需,大部分的钱我还是选择给了父母，自己选择了少数的一部分零用。

今年我第一次帮我老妈买化妆品  ，第一次帮老爸买套保暖内衣，第一次帮我喜欢的女生买东西。虽然被拒绝了，但是我最起码用的自己的钱，我很开心，我有了自己的一点价值!

/**/PS:

在挖掘阿里漏洞的时候我经常思考一件事情，如何挖掘高危，甚至是严重漏洞，随着我的挖掘我发现，我只能挖一些中危和低微漏洞，虽然每次都能挖到漏洞，但是我也有我的烦恼。在挖掘漏洞的时候，我开始慢慢完善我不会的东西，完善我的知识体系和知识面，虽然还有很多短板，但是我会努力的。附上一些挖掘经验和挖洞的一个指南小提醒:

1.漏洞挖掘需仔细，低微漏洞要最大化的利用，尝试把低微转变成高危

2.学会联想，尝试把几个低微结合起来变成高危漏洞

3.注意你的参数，有时候一个你觉得不起作用的参数，修改下可能发生质的变化。

4.你多熟悉网站的业务，你就能挖多少高危!(作者本人非常不熟悉阿里业务。。so  哈哈不说了心口痛)

5.权限很重要，让自己掌握较大的权限

6.越权不仅仅存在于参数中，cookie中也有一定几率存在越权

7.熟悉你的burpsuite，熟悉他的每个功能,掌握fiddler，对你挖掘信息收集有帮助

8.有一颗大胆猜疑的心，多假设，多猜测，多怀疑，多否定。

9.GET的点不同导致挖掘到的漏洞不同，关注点不同导致挖洞的等级不同

10.漏洞挖掘中把你所学的思路都用上，不放过任何一个可疑的行径

11.如果有可能的话，乌云精彩的漏洞反复看，多看几遍，每次看都是不同的感受

12.关注偏门的漏洞，关注小技巧，关注"微"漏洞

13.长时间的挖掘没挖到漏洞，思路很乱的情况下停止挖掘出去走走或者敲代码找灵感

14.不忘初心，方得始终

 

附上一些漏洞挖掘小技巧，其实这才是重点:

存储型XSS漏洞挖掘经验:

真理:有框就插,通用XSS语句

”><script>alert(1)</script>

“><img src=x  onerror=alert(1)>

 

如何挖掘信息泄露?

1.关注图片,关注商家或者用户图片,追寻源头!尝试遍历ID

2.网站交互页面的时候,打开浏览器选择F12,看API接口,查看是否存在信息泄露如泄露UserID但是用户名是马赛克限制的也算漏洞!

 

如何挖掘信息遍历漏洞?

注意如下参数如:userId  NickName orderid这些参数,尝试去遍历这些参数,遍历成功都是高危漏洞!

FD是最好的信息泄露工具

有用户的汇集的地方就很可能存在漏洞

场景购买东西评论处(最好先下订单)

比如ID泄露例子如下:

userid=xxxxxxxxx

典型的漏洞!

再危害大一点就是orderid订单号泄露!

也有可能马赛克的旺旺号泄露变成明文

 

 

购买东西每个下的订单都是不安全的,有很多地方可以遍历!或者买不同的东西处存在下订单的CSRF

 

关于越权!

1.越权始终围绕着增删改查,假如你对删除帖子处抓包,抓包是GET类型数据包,那么就复制get类型url地址切换到另一个地址访问,如果操作成功代表越权!

2.很多时候你对增删改查进行抓包的时候,很多时候都是POST类型数据包,这时候只需要登录另一个账号替换另一个账号的cookie值,替换cookie操作成功即代表越权成功!

3.针对系统地址或者是后台地址的越权,可以直接访问等

 

 

关于jsonp跨域和劫持

URL地址是Callback=jsonp这种类型的格式很有可能存在漏洞!

可以本地构造代码让其余人访问可能全部中枪

参考代码:

<script>

 

function qunarcallback(json){

 

alert(JSON.stringify(json))

 

}

</script>

<script src="https://www.jiyoujia.com/youjia/profile/review.json?_ksTS=1497882698509_3398&callback=qunarcallback&_output_charset=utf-8&fmt=data"></script>

Jsonp劫持就是去掉referer或者伪造referer访问泄露敏感信息

 

CSRF挖掘

CSRF就是没有token就是艹!除非网站本身不支持跨域这种操作!

 

CSRF挖掘的小技巧

CSRF围绕着功能点

常见的:关注别人,收藏文章/收藏商品处存在

CSRF   评论别人    保存信息/内容

弹幕评论无token直接发送!

比较忽略的CSRF地方:

1.短信验证CSRF 输入手机号码然后抓包验证,发现没有token那么就直接构造然后替换手机号码如果成功就是CSRF漏洞  百分之99

2.发布消息 发布一个帖子处抓包无token,那么就很可能存在CSRF 触发率还是蛮高的

3.删除订单 CSRF orderid=   替换

4.下订单处CSRF 购买东西,抓包提交订单很有可能没有token然后就可以直接构造

在漏洞挖掘的时候假如无token但是有Sign的话，Sign就相当于token啊!

一般提交订单他开头部分就是_tb_token=

 

CSRF漏洞就是别人能远程操作成功就算CSRF漏洞了!

 

 越权的详细说明:链接：https://pan.baidu.com/s/1o7XZ00M 密码：onnc

已经写成doc文件了!

暂时就分享这么多!

2018年新计划:

学好java，一门心思的学一门编程，而不是学几门编程!深知一个人学几门编程语言学到最后到头来啥都不擅长的痛苦!增大学习知识面，扩展广度的同时发展深度。短时间内补上一些短板!争取明年暑假找个安全实习工作，锻炼下自己!尝试挖掘更多的高危漏洞，关注一些高危点，多看书多看乌云，永远不忘乌云前辈的恩德。用java写扫描器，完善自己未完成的梦想。

融入更多漏洞挖掘平台，不单单是阿里，尝试漏洞盒子，腾讯，百度等平台的挖掘!永远保持求知若饥，虚心若愚的心态。

 　　这是个从笔者以前觉得不可能到可能的真实故事，虽然力自己的目标还相差有很大的一段距离，但是笔者会继续加油努力!不忘初心，方得始终!

　　　　世上无难事，只怕有心人!