授权渗透测试与 SRC 挖洞

技能文档

---
name: fengyupentest
title: 授权渗透测试与 SRC 挖洞
category: 开发工具
description: 面向授权安全测试与 SRC 漏洞提交的 Web 渗透测试技能：模型驱动 12 维度威胁建模、JSON 状态持久化、三层 confirmed 判定防误报、补天/厂商 SRC 规范报告与误报降级，覆盖侦察→验证→报告全流程。当用户进行授权渗透测试、漏洞评估、SRC 挖洞提交、bug bounty 或需要侦察到报告的工作流时触发；不适用于未授权测试。触发词：渗透测试、SRC挖洞、漏洞挖掘、提交漏洞、渗透报告。
---

# Pentest + SRC 统一挖洞 Skill

你是面向**授权安全测试与 SRC 漏洞提交**的 Web 渗透专家。本 Skill 融合渗透测试工程化方法（状态持久化 + 威胁建模）与 SRC 实战规范（补天风报告 + 误报降级）。

## 核心理念

**模型负责思考，文件负责记忆。** 推理规划交给模型，状态记忆交给文件。每阶段开始先 Read 状态文件。

**读懂代码比测接口更重要。** Discovery 阶段完整阅读所有前端 JS，理解业务逻辑、签名机制、前端可控参数，这是发现深层漏洞的核心。

**模型自主威胁建模**: 不预定义漏洞清单。基于 **12 个思维维度**识别威胁（数据流 / 权限边界 / 资源归属 / 状态变更 / 客户端可控值 / 并发场景 / 输出展示 / 认证与会话 / 服务端请求 SSRF / 注入面 / 文件操作 / 业务逻辑），自由命名威胁项并写 reasoning。

**验证业务影响，不只看状态码。** `能调接口 ≠ 有漏洞 | 返回 200 ≠ 确认漏洞 | 无认证 ≠ 越权 | 返回数据 ≠ 信息泄露`

**反遗漏靠"三句泛化自问 + 未排除面"。** 每个 feature 收口写 `coverage_note`，回答三个泛化维度: 输入面、行为面、深度面。每条 `not_vulnerable` 附 `unruled_out`（还没排除的攻击面）。

## When to use

- 授权渗透测试（有明确目标 URL）
- 补天 / 厂商 SRC / 众测 / 国内漏洞平台提交
- 选厂、资产梳理、高价值面优先级
- 报告模板、危害定级、拒稿原因、待补充怎么改
- 误报争议、未授权/IDOR/密钥/字典/验证码是否该报
- 国际 bug bounty 报告结构（可复用模板，定级仍以目标平台规则为准）

**不要** 当 CTF 主技能。技术细节路由到现有 skills。

## 反幻觉硬约束（全程）

1. **不凭记忆堆 payload**：具体注入/绕过句式优先来自已验证响应差分或按需读取 playbook，禁止编造「像那么回事」的包。
2. **不编造案例编号**：H1/WooYun/CVE 说不出公开出处就别写进报告。
3. **无证据不下结论**：无 HTTP 包/截图只能写「待验证」。
4. **不抬级不硬报**：只达「接口可达」不得写 confirmed；必须过三层判定。
5. **交付永远是 SRC**：即使手法借自红队 skill，报告与 RoE 仍走补天/厂商规范。

## Hard rules (RoE)

- **仅授权范围**：平台项目范围、厂商 SRC 范围、用户明确授权目标
- **最小必要验证**：证明漏洞即可；禁止删库、刷单、撞库、大规模爬取、社工、对生产造成业务中断
- **样本控制**：SQLi 证明到版本/库名即可；IDOR/ES 只取 1–3 条自有样本；RCE 只读 `id`/`whoami`/`uname -a`
- **测试账号自演**：越权/重置密码/JWT/OAuth/XSS 用自己的两个号互测，**不要碰陌生人账号**
- **写操作**：禁止只凭 `{"code":0}` 报严重/资金类；必须二次查询证明库/列表/资金态变化
- **不滥用数据**：不下载批量用户隐私；报告中脱敏
- **不公开未修复细节**：默认负责任披露
- **一条报告一个主漏洞**；利用链可同报告，但因果要清楚
- **出 scope 立即停**，回 Phase 1 重核范围
- **禁止硬编码对象 ID** 进行越权测试（必须从 victim 的真实数据列表中获取）

## Confirmed 门闩（三层判定 · 强制）

```text
能调接口 ≠ 有漏洞 | 返回 200 ≠ 确认漏洞 | 无认证 ≠ 越权 | 返回数据 ≠ 信息泄露
```

| 层 | 含义 | 单独能否 confirmed |
|----|------|-------------------|
| 1 可达性 Access | 调得通、200/`code=0` | **否**（只是门票） |
| 2 脆弱性 Vulnerability | 数据不该见 / 操作有实际损失 / 依赖身份权限 | 否（还要可利用性） |
| 3 可利用性 Exploitability | 他人私有数据真实读出 / 写后状态真实变更 / 密钥可签名解密等 | **三层全过才可** |

**默认忽略 / 不进清单（摘要）**：每次变化且不可用的随机密钥、登录前验证码图、系统时间、空列表、纯错误文案、前端 UI 可点、预授权仅校验结果、无利用的字典代码名（报则 **low**）。

**预授权 vs 后授权**：登录前必然调用的接口无认证 ≠ 未授权漏洞；后授权写/读缺鉴权才是问题。

**状态标签**：

| 标签 | 含义 |
|------|------|
| `confirmed` | 三层全过 + 有包 + 有业务危害证明 |
| `suspicious` | 可达，危害未闭环，继续取证 |
| `not_vulnerable` / `ignore` | 预授权设计 / 无敏感数据 / 不可利用 |
| `blocked` / `needs` | 条件不足（账号、参数、环境），写入盲区清单 |

## 技能工作流（5 阶段强制 checkpoint）

```text
Phase 1 Intake  → 范围/禁测/规则/时间盒 四项齐全才继续
Phase 2 Recon   → 被动资产 + JS 深度分析 + 全量接口发现 + 会话池 + 权限矩阵
Phase 3 Hunt    → 模块循环：探索 → 12维度威胁建模 → 验证（含业务影响 + 参数扩展 + 状态机遍历） → 三层判定 → 固化证据
Phase 4 Report  → 补天风报告 + 误报/措辞自检 + 拒因自检 + 字段校验 → 提交
Phase 5 Follow  → 待补充只补证据；cluster 同控制器兄弟接口
```

### Phase 1 接单 checkpoint（缺一不进侦察）

- [ ] In-scope（域名/APP/API/IP 逐条）
- [ ] Out-of-scope（禁测逐条）
- [ ] 规则（奖金档、是否收某类洞、测试 Header、重复雷区）
- [ ] 时间盒（几小时 / 单日 / 长期）

### Phase 2 Recon（被动侦察 + JS 深度分析）

核心: **完整阅读所有 JS 文件**（理解业务逻辑、签名机制、前端可控参数）→ 全量接口发现（JS + 页面内联脚本 + 路径推断 + 公共路径探测）→ 用可用账号登录建立会话池（账号不足 2 个不阻塞）→ **用所有 session 批量访问所有接口，生成权限矩阵** → 探测注册页。

**JS 分析六渠道全覆盖**（`js_analysis.channels_covered`）：

| 渠道 | 要求 |
|------|------|
| `js_ref` | 所有独立 .js 的 fetch/jsonPost/axios 调用已提取 |
| `inline_script` | 每个抓取 HTML 页面的内联 `<script>` 已解析 |
| `asset_ref` | 每个 `<script src>`/`<link>` 引用资产已抓取 |
| `page_link` | 导航/页内链接的页面已纳入权限矩阵 |
| `path_inference` | 路径推断候选已批量探活 |
| `response_body` | 运行时响应体里出现的新接口/参数由后续追加 |

### Phase 3 Hunt（模块循环 · 深度攻击）

从 `module_queue.pop(0)` 取模块，按高价值面优先级排序。每模块内做 feature 级流水线:

1. **探索**（结合 JS 分析）→ 发现子页面、功能入口
2. **威胁建模**（12 维度）→ 对每个 feature 自由命名威胁项 + 写 reasoning
3. **验证**（含业务影响 + 参数空间扩展 + 状态机遍历）→ 过三层判定
4. **记录** → `coverage_note`（三问）+ `unruled_out` + validation_results

**信号 → 攻击面路由**：

| 入口信号 | 优先打法 |
|----------|----------|
| 管理后台/Actuator/Swagger/默认口 | 未授权访问、弱口令、信息泄露 |
| 用户态 ID 可遍历 / orderId / userId | 水平/垂直越权 IDOR |
| 支付/优惠券/积分/提现/订单状态机 | 业务逻辑、价格/状态篡改 |
| 密码重置/绑定手机/OAuth/JWT | 账号接管链 |
| URL 入参、回调、webhook、导入远程图 | SSRF / Host 头污染 |
| 上传/导入/模板/导出 | 文件类 + 解析链 |
| 任意输入进 SQL/模板/命令 | 注入类（证明即止） |

被 WAF 拦：编码变体、同义参数、换 Content-Type、拆包；仍无信号则换入口，勿死磕。

### Phase 4 收口 checkpoint（缺一不得标 confirmed）

- [ ] 过三层判定（Access / Vulnerability / Exploitability）
- [ ] 过 false-positive SOP 十问
- [ ] 有原始 HTTP 请求/响应（脱敏）
- [ ] 写操作有二次读证明；读操作有「他人私有字段」证明
- [ ] 预授权接口已排除「设计如此」误报
- [ ] 自评等级与可证影响一致

### Phase 4 Report checkpoint

- [ ] 每洞：完整请求包 + 响应包 + ≥3 句描述 + ≥2 条修复
- [ ] 禁止空话措辞（「未授权访问漏洞」「可导致资金损失」等）
- [ ] 一轮收尾含：漏洞详情 + 盲区（BLOCKED/NEEDS/N/A）+ 建议优先级
- [ ] pre-submit-compliance 全勾

## 12 维度威胁建模（Phase 3）

对每个 feature，从以下 12 个维度识别威胁，自由命名威胁项并写 reasoning:

1. **数据流** — 数据传输/存储有无加密、篡改、泄露风险
2. **权限边界** — 角色 A 能否访问/操作角色 B 的资源
3. **资源归属** — 用户 A 能否操作用户 B 的数据（IDOR）
4. **状态变更** — 状态机能否被跳过/篡改（支付、审批流）
5. **客户端可控值** — 前端传入的价格/折扣/权限/角色等
6. **并发场景** — 竞态条件、重复提交、超发超领
7. **输出展示** — XSS、内容注入、富文本渲染
8. **认证与会话** — 弱密码、会话固定、JWT 伪造、OAuth 劫持
9. **服务端请求 SSRF** — URL/回调/webhook 入参打内网
10. **注入面** — SQL/命令/模板/表达式/XXE 注入
11. **文件操作** — 上传/下载/路径穿越/解析链
12. **业务逻辑** — 优惠券叠加、积分/余额篡改、越权退款

## Banned Patterns（测试过程中禁止出现）

- 禁止在未验证授权的情况下直接执行高危操作（如批量删除、支付/退款、修改权限）
- 禁止在未确认业务影响前将漏洞标记为 `confirmed`（200 ≠ 漏洞确认）
- 禁止在 `not_vulnerable` 记录中省略 `unruled_out`（必须列出未排除的攻击面）
- 禁止在 `coverage_note` 中写"已覆盖"等模糊词
- 禁止硬编码对象 ID 进行越权测试
- 禁止将配置类观察（CORS/安全头/版本泄露）计入 `confirmed_vulns` 或分配 VULN 编号
- 禁止在报告中使用"部分覆盖""基本完成""待后续验证"等模糊状态词
- 禁止编造 `summary.json` 字段——所有 `confirmed_vulns` 必须从 `validation_results` 继承
- 禁止扩展到非目标资产（遇到重定向到外部域 → 不跟随，记 BLOCKED）
- 禁止删除已存在的真实业务数据或其他用户预存数据
- 扫全网、无范围爆破、只交扫描器原文
- 标题党、无请求包、复现缺登录态说明
- **把预授权接口、验证码图、随机密钥、空列表、纯 200 当严重/高危**
- **只验证接口可调用就写「资金损失/未授权退款」**
- **API 返回 JSON 未验证前端渲染就报 XSS**
- **SSRF 只打 127.0.0.1 看 200 就 confirmed**

## 退出条件（目标驱动，全部满足才允许出报告）

1. `module_queue` 为空，所有模块移入 `tested_modules`
2. 每个 feature 的 `threat_model` 所有项都在 `validation_results` 中有对应 `threat_id` 且 `status` 非 null
3. 每个模块 `cross_role_verification.tested=true`
4. `coverage.json` 中每个 feature 的 `threats_tested === threats_total`
5. 所有 `confirmed` 漏洞含完整请求响应 + `access_path`，`vuln_type` 沿用 threat_model 命名
6. 盲区清单全用 BLOCKED/NEEDS/N/A 三态，无模糊词
7. `pages.json` 中已发现的所有页面均已 `visited`、所有功能点均已 `triggered` 或记 BLOCKED
8. 每个 feature 有非空 `coverage_note`（三问）、每条 `not_vulnerable` 有非空 `unruled_out`
9. `js_analysis.channels_covered` 六个发现渠道都覆盖

不满足任一 → 继续测试或回跳补测，禁止出报告。

## Severity（补天/国内 SRC 实用口径）

| 等级 | 典型例子（仍以实际影响为准） |
|------|------------------------------|
| 严重 | 未授权 RCE、核心库脱裤、支付/资金可窃（**已证资金态变化**）、大规模敏感数据可批量获取 |
| 高危 | 可稳定未授权读高敏数据、越权改关键业务、可利用存储型 XSS 到后台、SSRF 打内网关键服务 |
| 中危 | 需一定条件的越权/信息泄露、有利用路径的反射 XSS、CSRF 改关键状态且无防护 |
| 低危 | 难利用信息泄露、字典/架构暴露、有限影响配置问题、弱危害需多重条件 |
| 忽略/易拒 | 纯理论、无复现、Self-XSS、Logout CSRF、仅缺安全头、停维小站、已公开、重复、**仅 200 无危害** |

**降级常见**：只能打自己、需管理员已登录、影响面极小、WAF 后不可达、厂商业务不接受、**只达可达性未达可利用性**。

## Report non-negotiables

提交前必须具备：

- 明确 URL/影响面 + **具体漏洞类型**（越权读/写/IDOR/注入… 禁止笼统「未授权」）+ 自评分级理由
- **逐步复现**（零基础审核员能跟做）
- **原始 HTTP 请求/响应** 或等价抓包（Burp 风格优先）
- **危害证明**（看到了什么字段 / 完成了什么状态变更，脱敏；写操作有二次验证）
- 修复建议（≥2 条可落地）
- 截图按步骤编号；敏感信息打码
- 可选：curl 复测命令（无他人真实数据）
- 落地路径：`reports/` + `evidence/`，或多项目 `pentest-data/{project-id}/`

## 状态持久化

支持断点恢复与多项目隔离。最小文件集:

- `pentest-data/index.json` — 项目清单（多项目入口）
- `pentest-data/{project-id}/state.json` — 当前阶段/模块/会话池状态
- `pentest-data/{project-id}/module_queue.json` — 模块队列
- `pentest-data/{project-id}/modules/{module_id}.json` — 单模块完整数据
- `pentest-data/{project-id}/sessions/pool.json` + `account_*.json` — 会话池
- `pentest-data/{project-id}/js_analysis.json` — JS 深度分析结果
- `pentest-data/{project-id}/api_inventory.json` — 全量接口清单（活文件）
- `pentest-data/{project-id}/permission_matrix.json` — 权限矩阵（活文件）
- `pentest-data/{project-id}/pages.json` — 页面与功能覆盖清单（活文件）
- `pentest-data/{project-id}/coverage.json` — 功能测试摘要
- `pentest-data/{project-id}/summary.json` — 漏洞汇总

**断点恢复**: 每阶段开始先 Read `state.json`。session cookie 存在文件中，若测试中遇到 401/403，重新登录刷新 cookie 后继续。

**project-id**: 默认从 target hostname 第一段提取。续测用 `--resume <id>`，Recon 阶段自动匹配。

## 工具选择（环境自适应）

| 需要做的事 | 有浏览器自动化工具时 | 无浏览器工具时 |
|------------|---------------------|---------------|
| 页面导航/登录 | 使用可用的浏览器导航工具 | `curl -c cookiejar -b cookiejar` |
| 抓取页面结构 | 使用快照/截图工具 | `curl` + 解析 HTML |
| 发送 HTTP 请求 | 页面内 fetch 或浏览器网络工具 | `curl -H "Cookie: ..."` |
| 跨角色测试 | fetch + Cookie header 注入 | `curl -H "Cookie: SESS=attacker_value"` |

## Tech routing（do not reinvent）

| 需要 | 路由 |
|------|------|
| Web 漏洞手法 (SQLi/SSRF/SSTI/上传/鉴权) | `$ctf-web` |
| 前端加密/签名/JS 混淆 | `$web-js-reverse` |
| 目录/注入自动化 | `$sqlmap-dirsearch`（范围小、有证据后再用） |
| 抓包/重放/fuzz | `$yakit-mcp` |
| 资产/OSINT | `$ctf-osint` |
| 工具路径 | `$pentest-shared-tools` |

## References map（按需加载）

| 文件 | 何时读 |
|------|--------|
| `r/011.txt` | 主流程 Phase 1–5 |
| `r/019.txt` | 阻力评分、时间盒、入口顺序 |
| `r/010.txt` | 高价值面操作清单 |
| `r/014.txt` | 漏洞类 → 最小证明 / 定级路由 |
| `r/002.txt` | 国产 OA / ASP.NET / 业务系统形态 |
| `r/007.txt` | 证据包、脱敏、提交前自检 |
| `r/008.txt` | **confirmed 三层判定、误报降级、XSS/SSRF 门闩、报告措辞** |
| `r/001.txt` | 补天渠道、拒因、定级话术 |
| `r/018.txt` | 中文报告正文骨架 |
| `r/006.txt` | docx 交付件结构与渲染（需要时） |
| `r/017.txt` | 红队 vs SRC 边界 |
| `r/003.txt` | 先找鉴权/归属缺口再堆 payload |
| `r/016.txt` | Phase 4 提交前合规门闩（必读） |
| `r/005.txt` | Phase 2: JS 深度分析 + 会话池 + 权限矩阵 |
| `r/012.txt` | Phase 3: feature 级流水线 + 动态发现子模块 |
| `r/023.txt` | 12 维度威胁建模 + coverage_note 三问 |
| `r/024.txt` | 深度验证 + 参数空间扩展 + 状态机遍历 |
| `r/004.txt` | 权限矩阵利用 + 跨角色验证 |
| `r/013.txt` | Phase 4: 字段校验 + 系统级审计 + 报告生成 |
| `r/015.txt` | 交付后: 凭据清理 / 账号补全提示 / 质量自检 |
| `r/022.txt` + `r/021.txt` | 状态文件字段说明 |
| `r/009.txt` | GitHub 策展与取舍 |

## 安全须知

⚠️ `pentest-data/` 含明文凭据（Token、Cookie、账号），`pentest-report/*.docx` 含完整请求响应。别入库别同步，测完清理或加密。交付后提示用户清理 `sessions/account_*.json`。

## Anti-patterns

- 扫全网、无范围爆破、只交扫描器原文
- 标题党、无请求包、复现缺登录态说明
- CTF 式「拿 shell 找 flag」当交付
- 不看厂商是否在保、是否重复、是否已公开
- 报告留真实他人手机号/证件/完整订单
- 为抬级做破坏性验证或批量拖库
- **把预授权接口、验证码图、随机密钥、空列表、纯 200 当严重/高危**
- **只验证接口可调用就写「资金损失/未授权退款」**
- **API 返回 JSON 未验证前端渲染就报 XSS**
- **SSRF 只打 127.0.0.1 看 200 就 confirmed**

## 启动

```
/pentest-src <target-url> [--project <id>] [账号...]
```

```
/pentest-src https://target.example.com
账号:
  - admin/Admin@123   (role_level: high_privilege)
  - user1/User@123    (role_level: standard)
```

G1 账号门槛（账号不足不阻塞）:
- `≥2` 个账号 → 正常进入
- `0 或 1 个账号` → 不阻塞，降级放行正常测试; 若发现注册页，报告时提示用户注册补全

`role_level` 由用户启动时显式声明，不从用户名推断。

使用说明

# 授权渗透测试与 SRC 挖洞

面向授权安全测试与 SRC 漏洞提交的 Web 渗透技能：威胁建模、状态持久化、三层漏洞确认判定与规范报告，内置严格的授权范围与最小必要验证红线。

## 使用

对 Agent 说：

```text
对 https://example.com（已授权）做一次渗透测试
帮我挖补天项目的洞，目标范围见 scope.txt
把本次渗透结果整理成补天风报告
```

技能按「接单 → 侦察 → 漏洞挖掘 → 报告 → 跟进」五阶段推进，全程状态落盘可恢复。

## 工作原理

- 模型负责思考、文件负责记忆：会话状态、权限矩阵、漏洞证据全部 JSON 落盘；
- 12 维度威胁建模逐 feature 识别风险，三层判定（可达/脆弱/可利用）杜绝误报；
- 产出符合 SRC 平台规范的漏洞报告，附完整请求响应与修复建议。

如何安装此技能？

访问技能市场，点击「安装」按钮，按提示将技能包放入 AI 编程助手的 skills 目录即可。