选择目标

漏洞赏金狩猎是指在系统所有者邀请测试的前提下，寻找并负责任地报告安全漏洞，以换取认可或金钱。这是合法且经过授权的黑客行为。

• 项目会规定哪些内容属于授权范围，以及哪些漏洞可以获得奖励
• HackerOne、Bugcrowd 和 Intigriti 等平台会承载这些项目
• 公司也会独立运行项目

选择合适的目标，是获得赏金还是浪费时间的关键。

范围会明确规定您可以测试哪些资产。测试范围之外的任何内容都是未经授权且无效的，还可能导致您被封禁或起诉。

• 授权范围内——您可以攻击的域名、应用和 API
• 授权范围外——您必须避开的资产
• 排除的漏洞——项目不会奖励的问题类型

在进行其他操作之前，请先阅读范围说明。

每个项目都有政策页面。请将其视为合同。需要重点了解的部分包括：

• 授权范围内和授权范围外的资产列表
• 按严重程度划分的奖励区间
• 参与规则（速率限制、不得进行自动化扫描等）
• 保护善意研究者的安全港声明

误读政策是新手最常见的错误。

范围的广度会影响您的策略。

• 像 *.example.com 这样的通配符范围涵盖每个子域名，攻击面很大，适合重视侦察的猎手
• 像 app.example.com 这样的单资产范围较为狭窄，适合深入的手动测试

通配符范围更适合自动化和广度；单资产范围更适合耐心和深度。

主要有两种项目类型：

• VDP（漏洞披露项目）——接受报告，但只提供声誉或感谢，不支付奖金
• Bug Bounty（BBP）——支付现金赏金

VDP 很适合积累声誉的初学者；掌握技能后，付费项目才是目标。有些猎手会利用 VDP 在真实目标上无风险地练习。

项目分为公开项目和仅限受邀项目。

• 公开项目——任何人都可以参加；竞争激烈，容易发现的问题已经被找得差不多了
• 私有项目——根据声誉和能力信号发出邀请；竞争少得多

在公开项目中建立过往记录，可以获得高收益私有项目的邀请，而这些项目的攻击面通常更新鲜。

根据您的优势和耐心选择目标：

• 擅长 Web 应用逻辑？选择复杂的 SaaS 应用
• 喜欢自动化？选择范围广的通配符项目
• 具备移动端技能？选择将移动应用纳入范围的项目

还要考虑成熟度：全新的项目可能存在容易发现的漏洞，而成熟项目则需要发挥创造力，寻找其他人遗漏的问题。

平台会记录您的能力信号（有效报告与无效报告的比例）和声誉积分。这些指标会决定您能否获得私有项目邀请，也可能影响赏金倍数。

• 提交噪声报告（误报）会损害能力信号
• 高质量的有效报告会提升声誉

请保护您的能力信号：只报告您已经确认并且能够证明影响的问题。

赏金会随严重程度增加，通常对应类似 CVSS 的等级。典型的奖励表如下：

• 严重（RCE、身份验证绕过）——最高奖励
• 高危（SQL 注入、SSRF、账户接管）
• 中危（存储型 XSS、IDOR）
• 低危（开放重定向、轻微信息泄露）

请针对那些能够对应高影响漏洞、且您擅长发现的资产类型。

认真的猎手会为每个项目记录笔记：范围变化、已测试的资产以及需要回访的线索。范围并非一成不变，新资产会加入，旧漏洞也可能再次出现。

一个简单的跟踪文件可以帮助您保持条理，并避免重复测试同一内容。

漏洞赏金邀请是您获得授权的唯一依据。绝不要超出授权范围。

• 仅测试授权范围内的资产
• 遵守速率限制，避免进行干扰性测试
• 除了证明影响之外，绝不要访问、修改或窃取其他用户的数据
• 在项目允许之前，不要公开披露

安全港保护仅适用于善意且在授权范围内的测试。

您加入了一个新项目，其范围是 *.example.com。这属于哪种范围？适合采用什么策略？

您已经学会了如何明智地选择漏洞赏金目标。

• 范围就是合同，请在测试任何内容之前先阅读
• 通配符范围偏重侦察和广度；单资产范围偏重深度
• 区分VDP（不支付奖金）和付费赏金项目
• 公开项目可以积累声誉，从而解锁更新鲜的私有项目
• 只报告已确认且影响明确的问题，以保护您的能力信号

接下来，我们将扩大侦察规模，以发现更多攻击面。