隐雾安全SRC二期2024

这门课解决什么问题

「隐雾安全SRC二期2024」教的是企业安全应急响应中心（SRC）的漏洞挖掘方法论，不是安全科普，也不是教你装工具扫一扫。很多人在靶场里能打穿，一旦面对真实业务系统就无从下手，原因在于不知道「先看什么、再看什么、怎么从零到一完成一次有效测试」。这门课的核心是把SRC测试拆解成可执行的流程：从信息收集与资产梳理开始，到按业务场景逐项测试，再到用代码审计兜底，最终落实到一份能被厂商接受的漏洞报告。

课程内容围绕真实业务功能展开，覆盖注册流程、登录框、找回密码、商城交易、二维码、第三方登录授权（OAuth）以及APP资产。每个模块都有明确的测试切入点和边界判断，解决的是「这个功能可能存在哪类漏洞」和「怎么去验证它」的问题。这一点比单纯看漏洞讲解视频有用得多，因为SRC挖洞的难点从来不是技术本身，而是如何在庞杂的业务逻辑里找到可信的突破口。

建议先看哪几块

基础方面，你需要先掌握HTTP请求原理、Burp Suite的抓包与重放操作、常见Web漏洞特征，最好读过OWASP Top 10。零基础直接上手会比较吃力，建议先补一轮渗透测试基础再来学这门课。已有的基础则要求不高，无需精通编程，但懂一点PHP语法会有助于理解后半部分的代码审计内容。

学习路径建议按三条线推进。第一条线是资产侧：先看信息收集和资产梳理部分，搞明白如何从一个域名或一个APP图标扩散出完整的目标资产范围，这是SRC挖掘的起点，也是多数人忽略的环节。第二条线是业务逻辑侧：从注册、登录框、找回密码这类认证类功能入手，再进入商城、二维码、OAuth这些更复杂的交互场景。每看一个场景，就把对应的测试思路整理成自己的Checklist，不要只看视频演示。第三条线是代码审计部分，这部分适合在完成前两条线之后再看，用来积累对底层成因的判断——很多业务漏洞的根因就在服务端的参数处理和状态校验上。

学完能独立做什么

学完以后，你应该能对一个未接触过的SRC目标独立完成完整测试流程：通过信息收集圈定资产范围，梳理出站点功能和接口清单，再按照认证类、业务操作类、第三方交互类的测试模板逐项验证，判断漏洞是否真实可利用、影响范围有多大，最后写出描述清楚、可复现的漏洞报告。这套流程可以反复迁移到不同厂商的目标上，形成你自己的方法论。

资料配合练习的具体做法是：先用靶场或开源项目把课里讲的测试思路完整走一遍，每验证成功一个点，就记到自己的漏洞笔记里，注明触发条件和判断依据；然后去各大SRC平台找低竞争的众测项目，从资产较少的小目标练起，按照流程走通一次完整测试。注意务必在授权范围内操作。强烈建议把课程里那几份「测试思路」类材料当作手册，放在手边对照使用，而不是只当作课件看一遍，它们比视频更适合当实操参考。