漏洞狩猎侦察手册

为什么系统化侦察比灵光一闪更可靠

在漏洞赏金项目里，大多数人把时间花在构造精巧的 payload 上，但真正高危的漏洞往往来自覆盖盲区：某个没人访问的 actuator/heapdump 端点、一台跑着默认口令的 Tomcat、一段被遗忘在 GitHub 里的配置文件。这类问题不会通过一次 SQL 注入测试暴露，只有把目标的资产面完整铺开，才会浮出水面。这个技能解决的正是「如何有条理地扩大攻击面，并把时间花在最容易出洞的地方」。

它如何组织侦察工作

技能把整个流程拆成可执行的层次，从宏观到细节：

• 侦察分层：先明确枚举的优先级，避免一上来就钻细节。
• 子域名枚举：区分被动收集（不向目标发起 DNS 查询）与主动爆破，加上虚拟主机发现，这是攻击面扩大的第一步。
• 端口与服务发现：定位暴露的服务，为后续测试划定范围。
• 技术指纹识别：判断目标使用的技术栈，决定该套哪一套利用思路。
• 端点发现：覆盖目录爆破、参数挖掘、JS 源码分析和 API 端点收集。
• 源码层侦察：检查 GitHub/GitLab 暴露、环境文件泄露等影子资产。

在此基础上，技能引入一套以测试深度为核心的方法论：与其在多个项目间浅尝辄止，不如深入一个项目，把应用摸透；同时建立公司的技术画像，并有意识地去别人不看的地方——错误页、管理路径、旧版本接口、移动端 API。一个实用的判断依据是：如果某处输入被过滤了，说明该功能真实存在，只是存在被绕过的可能。

技能还提供了高价值目标筛选逻辑、常见配置错误的快速排查项，以及一张 Java 中间件指纹矩阵，标注了 Tomcat、WebLogic、Spring Boot Actuator、Jenkins 等组件的探测路径与关键特征，例如 /actuator/heapdump 可直接拖出内存中的密钥。

适用边界

这套方法偏侦察与覆盖，不替代针对单个漏洞的深度利用。中间件指纹矩阵以常见默认配置为前提，遇到加固过的部署（改端口、加鉴权、移除默认管理端点）就需要结合实际情况判断。工具链建议按需取用，侦察深度最终取决于执行者对目标的理解，而不是扫描器跑了多少条请求。