SRC 众测入门：从选目标到提交报告

SRC（Security Response Center）众测是白帽工程师常见的合规变现路径。本文覆盖从选目标到提交报告的完整链路。

1. 选目标：看状态、看赏金、看范围

别被"高赏金"带偏。先看项目状态（进行中/暂停/结束）、赏金结构（严重/高危/中危/低危），再读测试范围（哪些域名/应用在范围内）。很多暂停项目提交入口都关了，浪费功夫。

2. 先读规则再动手

每个 SRC 都有评分标准和测试规范：哪些算漏洞、哪些不算、禁止做什么（如批量窃取数据、DoS、超出范围测试）。规则之外的行为可能不结算甚至被追责。

3. 信息收集阶段保持只读

子域枚举、指纹识别、公开入口梳理——这个阶段不需要发任何 payload。把攻击面画出来（登录入口、API、后台、测试环境），再逐个评估。

4. 漏洞确认要留证据

复现步骤要能独立跑通：请求包、payload、响应差异、截图。越权/逻辑类漏洞要说明业务影响，注入类要标注证明等级。

5. 报告按模板结构化

大多数平台有固定模板（摘要、受影响资产、复现手册、影响评估、修复建议）。按模板写，审核通过率更高。提交后留意平台跟进状态，修复前不要公开传播。

—— 想了解企业侧安全检测服务？查看服务。