转眼我挖掘SRC也已经一个月了,这一个月收获还是蛮丰富的。分享一下我这一个月以来的挖掘历程吧;
刚开始的准备工作
起初我耗费了大量的时间精力找各种信息收集的渠道&姿势。在此过程中确实学到了不少的姿势,懂得了不少的道理。具体道理什么都就不赘述了,因为有些东西说了也没有意义,只有自己经历感受了才会懂得才会体会得到是什么滋味,技术哪有什么捷径呢。
不得不说感谢的是几位师傅,此前在上一家公司的时候结识了一位非常好的伙伴,他不仅仅是挖SRC能力特别强,思考的高度都和一般人不一样,我想这也决定了他的技术厉害吧。然后就是我厦门的两位师傅,给了我很大很多的挖掘姿势。感谢师傅们的一路帮助。
对准备工作的小总结:不放过任何细节能花大量的时间精力去做信息收集+好友几枚(一个人的力量永远是有限的)
开始挖漏洞的心酸历程
信息收集的姿势学习的差不多了(相对挖掘一些比较一般的SRC)然后开始磨拳擦脚试试SRC,首先需要的是定位好自己挖掘的目标,以及最好可能的找一个为之坚持的理由,比如我的理由很简单,我找了很多SRC,然后看到一个这个SRC排行榜里我看到有一个人我是认识的,并且我知道他技术远不如我好,那么我就告诉自己,他这种菜B都能挖,我也一定能挖,而且一定能挖的比他好!然后我就抱着这个信念开始了我的挖掘之路。果不其然,挖到了我在这个SRC的第一个漏洞,任意文件下载。然后这个漏洞挖完以后我过了好几天也没有挖到漏洞。我开始有点心灰意冷。然后我开始慌张起来,我难道挖这个漏洞真的是运气吗?我开始怀疑自己,难道我真的那么菜?为什么?我不服!然后白天上班,晚上挖洞。这样不知道肝了多少个日日夜夜,我终于挖到了我的第二个漏洞。当然,只是一个低危,但好歹我开始有点起色了,我开始慢慢变得有一点点自信。
但这离我的目标还有一点远,我的季度前三,还是遥不可及,因为我没有挖到一个高危,靠低危是永远上不了前三的。然后我开始了我的思考,我要如何才能挖掘高危漏洞,我要如何才能成为自己心中的黑客,我要如何才能成为大牛,我要如何才能发财!我开始看国内外的漏洞文章。国内的文章大多数还都是能够看得懂的,但是看得懂归看得懂,看懂了也还是不懂得怎么挖。那阵子我开始陷入各种的思考,到底是为什么,是信息收集不到位?还是什么缘由。后面我开始逛国内外的各种论坛、博客、漏洞平台看他们的文章以及漏洞挖掘过程(不得不感谢这期间师傅们给我提供了一些国外黑客的博客以及论坛),我的英语很差。根本看不懂,靠翻译很显然很多时候都是很零碎的,有些时候语句根本不通,然后我开始了我的英语学习之路;刚好我认识一个211毕业的师傅以及曾经初中的英语课代表他们英语都不错,我问他们问题他们也都能很愉快的给我解答,非常感谢俩位师傅,虽然这篇文章他们可能看不到,但是我非常感谢他们。就这样看文章哪里不懂问哪里。然后渐渐的通过谷歌翻译+问。这样的一个笨办法能看懂了大多数的文章。
然后我挖掘到了我的第一个高危漏洞,信息泄露,奖励了800快,起初我并没有报那么大的期待。因为泄露的信息也不是那么重要。可事实就是这样,奖励了我800快。不过也因此我似乎开始懂得了什么叫做情报(别问我信息泄露跟情报有啥关联)。不过第一个高危结束以后的好几天,我又没有挖到过比较有价值的漏洞了。我又开始慌了。然后几天的漏洞都是特别low的漏洞:
我在挖的同时,在思考到底问题出在哪里,为什么别人能够每个季度都挖到3-4千的积分,而我挖到一个就谢了。我到底是哪里不如别人。后来我的一个师傅告诉我,别人是团队,而你是个体。这时候我明白了,确实他们为了team,会让多个人挖以确保他们团队能够在各大SRC都靠前。然后我开始为我的菜找借口。挖不赢也确实没办法,毕竟别人是团队。但就这样的几天里,我不甘心,因为起初我给自己立下的flag是拿下季度前三。这虽然对一个初挖SRC的人而言,是有点痴心妄想,但我只是想要给自己多增加一点核心竞争力,对于我一个专科刚毕业且交际能力很差的人而言尤为重要。我开始组建属于团队,组建的方法很简单,各大QQ群里问,有没有师傅要一起挖SRC的,我本来没有抱着什么希望找团队的心,没想到真有三个师傅私聊我。然后拉了QQ群。
然后又拉了我的几个朋友,组成了10个人的小团队,但遗憾的是,大家并没有团队协作能力、技术分享的意识。当然了,这我也能明白。随便几个人搞得群,所以团队并没有帮上我太多得忙。我又开始慌了。因为我得季度前三基本没戏了。一个师傅挖的漏洞太恐怖了。
一个月挖了七千多,这真的太恐怖了,虽然奖励是1:1 他这一下子也赚了七千多,对于我一个刚实习只有四千不到的菜鸡面前,真的留下了羡慕的眼泪。而且我观察到,他每次提交都是2000+-,审核都是下午审核的,一个下午的时间这个师傅能够一下从2000变4000,4000变6000,差不多每次都是2000这样子的增加。要知道我一个高危才800啊。他七千多有多少个高危啊。怕不是把这个SRC都日穿了。后来通过SRC小姐姐得知,挖的是活动。那个活动我也看了,我确实是挖不动,都是静态页面。我实在没辙。然后我又去问了SRC小姐姐,能不能把他们挖的漏洞的标题给我看看,我学习学习。后来被拒绝了,因为这很显然不行的。然后埋头挖洞了。上完班吃完饭又回到办公地点又肝到十一二点,回宿舍又继续肝。忘了多少个日夜。
战况
SRC挖了两千来积分,也就是两千块。
hackerone 1200刀,8k左右
所以这个月的收入加上实习工资对于我而言还是可以的了。
总结
我知道文章发出去以后肯定会有很多人问我,1000刀的洞是怎么挖到的,我不得不重复我文章开头说的那句话:有些东西说了也没有意义,只有自己经历感受了才会懂得才会体会得到是什么滋味,技术哪有什么捷径呢(其实是我想说是运气你们肯定不信)
后来我看到在朋友圈接地气师傅发的几张图片和一句话。
接地气师傅是我为数不多十分敬重的一位师傅。他给自己规划每天做什么做什么,每天内要做什么,每周内,每月...并且完成情况表格记录。所以真的十分钦佩地气师傅。当我看到这句话的时候,不是有涯与无涯,而是我爱xx。我又开始想,我爱什么,我交际不会、更没什么其他的生存能力,我唯一爱的就是黑客,所以我咬着牙攥着拳头告诉自己,我的梦想是黑客,我要当黑客,而我就是黑客!我也一定会成为很优秀的黑客!共勉低调学安全、潜心求发展吧。
最后的最后感谢各位师傅能耐心把这篇文章看完,感谢!共勉。
如果你觉得这篇文章对你有益,你可以通过扫描下方的二维码打赏一波。
微信 支付宝