历时八个月，获得 15000+$ 的故事

本文作者：Shreyas Chavhan

原文地址：https://shreyaschavhan.notion.site/Roadmap-I-followed-to-make-15-000-Bounties-in-my-first-8-months-of-starting-out-and-my-journey-98b1b9ff621645c0b97d1e774992f300

今天要讲的是我从零漏洞赏金经验，历时八个月，通过漏洞赏金平台，获得 15000+$ 的故事，每个人都是从零经验开始的，虽然是零经验，但是我也具备相当扎实的技术背景。起初报告的漏洞也都比较基础，比如邮件注入、无速率限制、会话固定等问题。

技术背景

2019-2022：这个阶段，探索了很多技术领域，比如前后端开发、UI/UX 开发等，可以使用 C++、Python 编写一些基础的东西。

2022-2023：决定深入网络安全领域并作为职业，然后开始学习网络安全相关技术，包括 OSCP、OSWE 等证书所需技术，这个过程中还学到很多基础知识，比如 Linux 基础、Bash 脚本、正则表达式、高级 SQL 注入、Powershell、Python、Php、Java 等。

关于上面的学习参考都来自于 Github，以下是我总结的一些不错的项目：

OSCP：

https://github.com/shreyaschavhan/oscp-pre-preparation-plan-and-notes

OSWE：

https://github.com/shreyaschavhan/oswe-awae-pre-preperation-plan-and-notes

其他资料： 

正则：https://github.com/shreyaschavhan/regex-notes

SQL 注入：https://github.com/shreyaschavhan/sql-cheatsheet

Powershell：https://github.com/shreyaschavhan/powershell-notes

Python：https://github.com/shreyaschavhan/python-for-awae

2023-2024：这个阶段是大学的最后一年，这个过程中大部分时间用在了看电影、阅读、准备考试、写作业等方面，做的事儿比较杂，从 2023 年 7 月份开始进行漏洞赏金活动。

漏洞赏金时间投入与成果统计

月份	投入时间	工作天数	获得赏金 (USD)	报告数量	项目数
2023年7月	99 hr 42 min	21	50	6	3
2023年8月	65 hr 15 min	16	50	9	4
2023年9月	93 hr 33 min	23	400	17	9
2023年10月	59 hr 21 min	17	0	8	4
2023年11月	48 hr 24 min	13	750	8	3
2023年12月	47 hr 56 min	18	0	10	7
2024年1月	106 hr 36 min	21	100	23	22
2024年2月	59 hr 33 min	15	0	10	2
2024年3月	54 hr 52 min	12	14250	9
合计	636 hrs	-	15600$	100	56

学习路线

有很多初学者对我的学习路线感兴趣，想知道我是如何学习进步的，如何能达到如今的成就，下面就来分享我的学习之路。

学习 Linux 基础命令和 Bash 脚本可以帮助我们更好的安装和使用安全相关的工具和脚本，提高我们在漏洞赏金中的实战效率。

关于 Linux 基础学习参考：

https://github.com/shreyaschavhan/linux-commands-cheatsheet

学习完基础之后，可以使用在线 CMD 挑战平台，验证所学：

https://cmdchallenge.com/

关于 Bash 脚本学习参考：

https://github.com/shreyaschavhan/bash-scripting-cheatsheet/

为了更方便学习，可以使用在线学习平台：

https://www.learnshell.org/

其中的一些内容虽然已经过时，但是大多数内容还有效，关于此书的学习笔记 Github 有不少分享，比如：

https://github.com/Sivnerof/The-Web-Application-Hackers-Handbook

学习之余，可以前往 portswigger 进行实战练习：

https://portswigger.net/web-security

从学习到实践需要一个过程，对于初学者而言，选择简单易得的目标，更容易出成果，比如我先以 IDOR 作为切入点，找关于 IDOR 相关的资料学习，然后去实践，因为 IDOR 这类漏洞比较容易找到。

不安全的直接对象引用 (IDOR) 是一种访问控制漏洞，当应用程序使用用户提供的输入直接访问对象时会出现这种漏洞。IDOR 一词因出现在 OWASP 2007 Top 10 中而广为人知。然而，这只是可能导致绕过访问控制的许多访问控制实施错误的其中一个。IDOR 漏洞最常与水平权限提升相关，但也可能与垂直权限提升相关。案例如图：

合理分配自己的学习和实战的时间，学习结合实战，不断重复这个过程（选择漏洞类型-》学习漏洞原理及测试方法-〉实战），直到将所有漏洞类型都学完并应用在实战中，比如：xss、sql注入、csrf、ssrf、jsonp、rce、lfi、信息泄漏、越权、条件竞争、子域接管、备份泄漏、参数污染、反序列化等。

当然不仅仅是 web 漏洞，还可以扩展到 API、移动 APP 等方面，比如参考：OWASP Top 10 2021、OWASP Top 10 API Security Risks、OWASP Mobile Top 10 等

在从事漏洞赏金的过程中，会遇到各种各样的问题，比如提交的漏洞重复、危害不足忽略、内部已知等情况。这个时候要保持良好的心态，积极与审核或者运营沟通，适当争取。

当然，你可以选择口碑和风评比较好的 SRC 进行漏洞挖掘，这样可以多少避免一些不公的事儿发生，给我们增加不必要的烦恼。

实战的过程中，你可能有很长时间没有成果，但是也不要气馁，不断寻找自己的不足，学习他人的经验，直到发现问题未知。

切记贪多，想要在漏洞赏金这个领域有所成就，不能大而全，而是要小而精，只有深度上超越他人，才有可能发现他人无法发现的问题，否则大概率是重复，简单容易发现的问题，你一定不是最先的那个，就算是，那也是运气问题。

H1 的报告是公开的，如果你要去做这个事儿，至少要阅读 1000 份报告，而我读了 5000 份以上，随着技术的积累，你应用在学习和挖洞实战上的时间可以适当调整。

总结

本文是国外的一个小伙伴分享的关于自己 8 个月的漏洞赏金经验，我对其进行了学习并加以总结，其中有不少有价值的内容值得初学者参考，其中涉及的那本英文版书籍，后台回复关键词 "赏金" 获取下载地址。

原文始发于微信公众号（信安之路）：历时八个月，获得 15000+$ 的故事