SRC 漏洞挖掘实战指南与经验总结
本文基于半年的 SRC 挖掘经验，系统梳理信息收集、漏洞挖掘技巧及高危漏洞应对策略。
前期信息收集
渗透测试的本质是信息收集。对于没有 0day 的选手来说，挖 SRC 更像是对企业资产的梳理。需要花长时间收集与企业相关的信息，包括企业的分公司、全资子公司、网站域名、手机 App、微信小程序、企业专利品牌信息、企业邮箱、电话等。在万人挖的 SRC 中，收集到别人未发现的资产往往离挖到漏洞就不远了。
企业相关信息收集
- 企查查：支持一键导出域名，查看企业关联子公司。
- 天眼查：同类型企业信息查询。
- 启信宝：企业信息查询。
主要查询的信息：
- 大 SRC 通常有许多子公司，可在所属集团中查看并导出。
- 查看同电话企业，基本为子公司。
- 查看股份穿透图，控股超过 50% 的子公司的漏洞 SRC 收录可能性较大。
- 查看企业下的 App、小程序及品牌资产，直接在搜索引擎搜索品牌可能有意外收获。
PS: 一般来说 100% 的全资子公司 SRC 漏洞是一定会收的，其他子公司资产可能需要与 SRC 审核沟通。
- 站长之家 (Whois)：邮箱反查、注册人反查、电话反查。
- BroDomain：兄弟域名查询工具。
- 七麦数据：可查到企业下一些比较冷门的 App。
信息整理
收集后大致能得到以下有用信息：
- 主公司及分公司、子公司下所有归属的网站域名信息；
- 主公司及分公司、子公司下所有的专利品牌和开发的一些独立系统；
- 主公司及分公司、子公司下所有的 App 资产和微信小程序。
之后需对信息进行归纳整理，区分主资产、边缘资产及冷门资产，重点关注冷门资产进行深入挖掘。
子域名收集和网站信息收集
子域名方面，OneForAll 和 Xray 功能已足够强大。对于主域名，若需充分收集子域名，最好用特大号字典进行最少三层的子域名爆破。Layer 子域名挖掘机也是不错的选择。
通过 GitHub 收集子域名
GitHub 上常有热心师傅分享跑出的子域名，可先查找现成资源。
OneForAll
项目地址：https://github.com/shmilylty/OneForAll
- 需在配置文件中填写 API 接口信息。
- 根据需求修改其他配置，如配置常见端口作为简单端口扫描工具。
命令示例：
python oneforall.py --targets ./domain.txt run
python oneforall.py --targets ./domain.txt --brute true run
实际操作发现挂外网代理和不挂代理跑出的子域名有时差异较大，建议都跑一遍然后去重。
Xray
子域名探测需要高级版。可以自行编写代码批量探测，或使用项目中的代码。
项目地址：https://github.com/timwhitez/rad-xray
命令调整后可批量探测子域名，一般 5 到 10 分钟一个子域。
