name: src-hunt-playbook description: > SRC vendor-list vuln hunting. Pick types from the menu by live surface (XSS / SQLi / RCE / file / authz / logic / leak / backdoor / n-day); do not fan out all 11 every turn. Report low / medium / high / critical onto the findings page. metadata: version: "1.0.1"

信息收集与挖洞：SRC 厂商清单（从者并行派出）

Pi 用内置 read 加载本文件；之后作业只用扩展工具 run_cmd / http_request。

子智能体 不设上限。调度并发拉起多个角色会话（recon / web-exploit / src-hunt）。每个工人只做一面或一类。禁止再开子进程。

本 skill 仅 SRC（track=src）。 CTF 走 recon-fanout。红队走 recon-spiral（目标 getshell）。不要升圈、不要先看题交旗、不要为拿 shell 停工。

产出 = 尽可能多的独立 report_finding（低/中/高危/严重都进漏洞页，各附最小可复现 PoC）。高危/严重必须二次验证且 evidence 含已证实危害。只打到「角色不存在 / 参数不完整 / 空 data」的未授权口仍要报，不能评高危或严重。

厂商 11 项是类型菜单不是穷尽洞单，也不是每轮必测清单。同一类型下所有变体都要挖，低/中/高危都报。 按图上的入口形态选该派的类：有对应面才派工人；没有证据就暂缓，不要为凑齐 11 路过代理。

禁止破坏业务：不准 DROP/DELETE FROM/TRUNCATE，不准删业务文件/订单；SQLi 只读证明；删除类只动自己上传的测试文件。

不报：phpinfo/指纹/Banner/目录列表、前台弱口令。CSRF、开放重定向按真实危害评级后仍进漏洞页。不夺旗、不以 getshell 收工。 已验证 SSRF 看见内网必须 report_pivot_capability 扩网（只走 SSRF 参数）；禁止本机直连、禁止 socks/shell 横向。

评级（四级，按已证明影响对号入座；禁止抬级或压级）

info 仅二次复验失败收口，不是第四级。

严重 critical（须 evidence 已证明，不能只凭类别或口子存在）

1. 已直接获取服务器权限：任意命令执行、上传 webshell、任意代码执行。
2. 已直接导致大量个人敏感信息泄露。
3. 已证明支付类逻辑可修改金额并影响盈利。

高危 high

1. 直接获取服务器权限的漏洞。包括但不限于任意命令执行、上传 webshell、任意代码执行。已打成执行则评严重。
2. 直接导致严重的信息泄漏漏洞。包括但不限于大量个人敏感信息泄露。已批量读出则评严重。
3. 支付类型逻辑漏洞。包括但不限于影响盈利的修改金额逻辑漏洞。已证实可改价则评严重。
4. 能直接盗取用户身份信息的影响严重的漏洞。可获取大量敏感信息或者执行命令的 SQL 漏洞。
5. 直接导致严重影响的逻辑漏洞。可重置管理员的密码，且导致大量敏感信息泄露。

中危 medium

1. 能直接盗取用户身份信息的漏洞。包括但不限于一般的 SQL 注入（需证明可获取数据库名/用户名）。
2. 直接导致相对严重影响的逻辑漏洞。包括无法导致大量敏感信息泄露的管理员用户密码重置或普通用户密码重置。
3. 需交互才能获取用户身份信息的漏洞。包括但不限于存储型 XSS。
4. 任意文件操作漏洞。包括但不限于任意文件读、写、删除、下载。
5. 越权访问。包括但不限于绕过认证访问后台，绕过限制修改用户资料、执行用户操作。
6. 比较严重的信息泄漏漏洞。包含敏感信息文件泄露（如 DB 连接密码）。
7. 弱口令。但不包括前台弱口令（前台弱口令不报）。

低危 low

1. 普通逻辑漏洞。包括但不限于 redis 未授权、heapdump 敏感信息泄露、短信轰炸等。
2. 需交互才能获取用户身份信息并且有一定利用难度的漏洞。

本表只决定级别，不是收洞白名单。表里没写到的可利用问题仍必须 report_finding（反射 XSS、SSRF、XXE、CORS 带凭证、竞态等）：按已证明影响就近落到中危或低危，禁止因为对不上条目就丢掉。

决策顺序

资产铺开 → 看入口形态，从菜单里选出有面的类型 → 只对这些类型 fan-out
已验证洞提危害 → 新面出现再开新类型 → 下一资产
不要停在第一条；不要为拿 shell 放弃仍有面的类型
不要每轮把 11 类全派一遍

0. 资产铺开（先把面撑大）

同一回合并行（有对应资产才开）。工具绝对路径见 skill kali-kit。

1. 入口：用 http_request 看已知 URL。不要去读 /usr/bin/nmap。不要立刻全端口。
2. 目录：中档 ffuf，词表见 kali-kit，timeout=120
3. HTTP 入口：https/http、robots、sitemap、security.txt、swagger、.git、备份
4. JS 接口：调用 skill kali-kit 取 JSFinder.py 绝对路径
5. DNS / 子域：系统解析器 + dnsmap；不要钉死 8.8.8.8

入口已确认时 web-exploit / src-hunt 与 recon 同一回合并行 开。禁止先写完 info 再打洞。新端口/路径至少测→证一轮。静态 SPA 不是无攻击面。利用 payload 被 WAF/403/406 拦截页拦住时读 skill waf-bypass-methodology（路径 401/403 仍走 kali-kit bypass-403）。

源站 nmap 只有 Web、没有 3306/6379/5432 → 疑似库在别的机器。下一刀泄配置/SQLi/未授权读/SSRF，不要为找库再扫库端口，不要把 jdbc/rds/*.internal 当新资产 nmap。已验证 SSRF 看见内网主机立刻 report_pivot_capability。

禁止：开局全端口、超 10 万行词表、把旁站当跳板打 RFC1918、委派 lateral / privesc / flag-hunt。

1. XSS

反射/存储/DOM。存储型默认中危；高交互、利用难度大则低危。可直接盗号且已证明大量敏感/命令执行再上调。每处独立报，不要合并。委派 web-exploit 或 src-hunt。

2. SQL 注入

联合/报错/盲注。先证明库名/用户名（中危）；能拖大量敏感数据或叠命令执行 → 高危；已批量读出或已执行 → 严重。时间盲注逐字节是最后手段。只用 SELECT/布尔/报错，禁止 sqlmap --os-shell / --file-del。

3. 命令执行 / 4. 代码执行

参数拼接、反序列化、SSTI、模板、表达式、上传解析。打成执行（canary + 回显）评严重；仅命令执行面未打成则按高危。不要转后渗收工，继续挖下一类。RCE 只写无害短 txt canary 并取回，立刻删掉。

5. 文件包含 / 6. 任意文件操作

LFI/RFI、任意读/写/删/下载。默认中危；读到大量 PII 评严重或高危（已批量读出=严重）；可写 webshell 且已解析执行=严重。禁止删业务数据。

7. 权限绕过

水平/垂直越权、认证绕过进后台、改他人资料、代操作。默认中危。能进后台并拿到大量敏感数据再报高危；已批量读出评严重。

8. 逻辑漏洞

支付改价：已证明可改金额=严重，仅逻辑面=高危。密码重置未大量泄露=中危。短信轰炸/无限流=低危。后台弱口令=中危，前台弱口令不报。 支付/改价/重复支付/0 元购只看回包差分，不要提交落地、不要真退款。 改密/越权重置只证明 token 或 IDOR，禁止覆盖已有管理员或线上用户口令。 条件竞争只证明缺锁，最多对自己的测试对象做 2 路对照，禁止打爆库存/优惠券/名额。 存储 XSS 用 console.log，禁止 alert 打到他人；测完删自己的 payload。 越权只用自己的 2 个测试号，真实数据不超过 5 条。禁止短信邮件循环轰炸、禁止 hydra 锁号。 禁止对有关系链的号做社交蠕虫扩散。http 与 https 同一套闸：洞要报，状态不要改。

9. 信息泄露

DB 连接密码/源码备份=中危；云钥匙或大量 PII=高危（已批量读出=严重）；版本/路径/phpinfo、错误页回显内网 IP 不报。heapdump 默认低危。SSRF 打到内网敏感面再报，并 report_pivot_capability 扩网；后续只走已验证 SSRF 参数，不要本机直连。

10. 后门

预留口令、隐藏管理入口、已知 webshell、调试后门。已进系统拿权限评严重；能进后台但未拿大量数据按中危/高危对号入座。

11. N-day

已识别产品/版本才查已知 CVE（例如 Kong 0.14.x 管理面、组件版本对应的公开洞）。用 WebSearch 查 CVE/N-day/官方公告，再用 http_request 拉公告页，短 canary 验证。没有版本不要对着整站喷 N-day 词表。

上报与非破坏验证

• 每个可复现漏洞单独 report_finding：标题 + 最小 PoC + 影响；不要合并。低/中/高危/严重都进漏洞页。
• 高危/严重必须过平台二次验证（evidence + 真实 poc_curl/poc_python）。未过验证仍进漏洞页，标待验证。
• 一类测完立刻切下一类；一个资产测完切下一个。同类型下一实例也要挖。
• 不限轮次；墙钟满 12 小时，或连续 30 轮没有新节点也没有新漏洞，硬停记失败。入口连不上不暂停。
• 已验证洞提危害：读面铺开、写面克制。swagger 读全文档；GET/查询类按类型覆盖未授权与敏感字段，不能停在第一条。写接口只证明权限，禁止落库灌垃圾。
• 已验证 SSRF 必须扩网登记：命中 RFC1918 立刻 report_pivot_capability（ssrf_*），图上才会出现跳板可达。本机网卡/物机网关是守卫不是目标；后续只走已验证 SSRF 参数，不要本机直连。禁止 socks/shell 横向。phpinfo、指纹、前台弱口令不报。
• 词表路径与二进制绝对路径见 skill kali-kit。