网安学习随笔

news/2025/3/19 14:35:07/文章来源:https://www.cnblogs.com/sabliercoder/p/18780964

为了对SRC的挖掘有一个较为清晰明白的认识，比如它的难度、使用的工具、消耗的时间、一般的流程、会关注那些点等。我找了六篇文章来进行学习，希望能有所收获，并进一步作出自己的计划。

文章阅读简记

漏洞-从零到1的历程记录
实战SRC漏洞挖掘全过程，流程详细【网络安全】
实战SRC漏洞挖掘全过程，流程详细【网络安全】
SRC漏洞挖掘-从零到1的历程记录
记一次一波三折的众测SRC经历
超实用的SRC实战经验分享
第一步是搜索之后得到6篇文章，从名字看有两篇重复，实际是不同的内容。下面对每篇文章进行解读

1. 漏洞-从零到1的历程记录

作者：ch0bits 时间：2021-3-25

第一篇阅读完的印象：

1、文章建议初学者可以借助工具来挖掘SRC，文章举例了一些漏扫工具，AWVS、APPScan、Xray、BBScan。
2、文章作者是在初始挖漏洞时写下的文章，大概在挖教育网漏洞
3、文章介绍有些漏洞学校可能都不收，如没有造成大危害的敏感信息不收，没有访问到敏感路径也不收
4、文章提到提交的一个文件上传漏洞被收了，定级为低危。
5、除文件上传漏洞，提交了一些弱口令漏洞

2、实战SRC漏洞挖掘全过程，流程详细【网络安全】

作者：顶峰相见8号时间：2023.04.03

漏洞挖掘时长：7天

作者找到的测试点：一个搜索框、找到SQL注入点

信息收集：找到了含有vue关键字的js文件（去找框架漏洞）、了解网站使用了CDN、发现存在WAF
使用FoFa了解子域名、发现不常用网站、发现vue的模板注入、发现XSS漏洞、发现敏感信息、使用SQL注入成功

渗透重在思路

3、实战SRC漏洞挖掘全过程，流程详细【网络安全

作者：程序员小小度时间：2024-12-11

感觉是推销课程的没有实际的东西（阅读耐心下降了）

可能有用的东西：

《Python核心编程》
《白帽子讲Web安全》
《Web安全深度剖析》
《Web安全攻防渗透测试实战指南》
《WEB之困-现代WEB应用安全指南》
《内网安全攻防渗透测试安全指南》
《Metasploit渗透测试魔鬼训练营》
《SQL注入攻击与防御》
《黑客攻防技术宝典-Web实战篇（第2版）》
《HTTP权威指南》
《PHP和MySQL Web开发》
《JavaScript高级程序设计》
Web安全学习笔记
Damn Vulnerable Web Application
Audi-1/sqli-labs
BUUCTF
bugku
网络信息安全攻防平台Sec-News
李劼杰的博客
Yaseng 博客
[离别歌](https://www.leavesongs.com/ wolvez’s blog：http://wolvez.club/)
Lcy’s Blog
hackfun
信安之路
蓝骑兵