挖SRC漏洞，洞挖说白了就是洞挖在合法授权范围内，找别人网站或系统的洞挖安全缺陷。这事听起来挺酷，洞挖但真正做起来，洞挖更多时候是洞挖对着Burp Suite的流量包发呆，一遍遍改参数、洞挖试payload，洞挖然后被WAF拦得怀疑人生。洞挖

我刚开始挖洞那会儿，洞挖总觉得漏洞是洞挖“扫”出来的。装个AWVS，洞挖挂个Xray，洞挖跑一晚上，洞挖第二天看报告就完事了。洞挖结果呢？扫出来的全是误报，要么就是低危的CORS配置问题，src平台根本不收。后来才明白，自动化工具只能帮你覆盖广度，真正能换钱的漏洞，基本靠手工抠细节。

举个例子。某次我盯上一个电商站，功能点很常规：用户下单、上传头像、分享链接。用工具跑了一遍，啥也没有。但我注意到一个细节——分享链接的URL里有个redirect_url参数，点进去会跳转到站内某个页面。我试着把值改成http://evil.com，结果直接302跳走了。开放重定向，低危，很多平台不收。但我不死心，继续试javascript:alert(1)，没反应；试//evil.com，跳了。再试https://www.target.com@evil.com，也跳了。这时候我意识到，这个跳转可能没做白名单校验。

接下来才是关键。我把redirect_url的值改成https://www.target.com/redirect?url=javascript:alert(document.cookie)，也就是利用站内另一个跳转接口做二次跳转。结果XSS弹窗了。一个开放重定向，配合站内其他功能，变成了反射型XSS。提交后，厂商给了中危，奖金不多，但那种“抠出来”的快感比扫出一堆低危强得多。

挖SRC最忌讳的就是贪多。有人喜欢广撒网，看到啥站都测一遍，结果每个站都只测表面。我现在的习惯是：选一个目标，把它当成一个真实产品去用。注册、登录、改密码、发帖、上传、支付，每个功能都走一遍，边用边想——“如果我是开发，这里会怎么处理用户输入？”

比如上传头像。很多站只在前端校验文件类型，后端直接存。你抓包改个Content-Type，传个.php上去，如果服务器解析了，就是GetShell。但更多时候，后端会重命名文件、校验魔数、甚至把文件丢到OSS里。这时候你得看返回的URL，是不是带上了原始文件名？如果是，试试路径穿越：../../../../etc/passwd。再试试二次渲染，传个正常图片，用工具在图片里插入payload，看服务器会不会重新编码。这些细节，工具不会告诉你，只有你自己去试。

还有逻辑漏洞。某次测一个抽奖功能，每天三次机会。我抓包发现，请求里有个draw_count参数，前端传的是剩余次数。我把它改成999，服务端居然没校验，直接返回了999次抽奖结果。虽然奖品都是优惠券，但这也算越权。提交后厂商说“业务影响低”，但至少确认了问题存在。

挖SRC不是比谁挖得多，是比谁挖得深。一个站，你花三天时间把每个接口的每个参数都测一遍，比一天扫十个站强。工具能帮你发现?id=1这种明显的注入点，但像?id=1&type=2&debug=1这种组合参数，工具往往忽略，而漏洞就藏在那。

最后说个实在的。别指望挖SRC发财。大部分漏洞都是低危中危，奖金几十到几百。真正的高危，要么被厂商内部消化了，要么被自动化扫描器抢了先。但如果你能坚持手工抠细节，把每个功能点吃透，一年下来，赚个零花钱还是没问题的。更重要的是，你学到的东西，比那点奖金值钱得多。