Src Hunter

---
name: src-hunter
description: 实战 SRC / 众测 / Bug bounty vulnerability挖掘工作流 skill。包含：5 phasemethodology（intake → recon → enum → hunt → report）、19 个攻击类 playbook（SQLi/XSS/RCE/SSRF/IDOR/CSRF/Path Traversal/File Upload/SSTI/XXE/Race/HTTP Smuggling/OAuth/JWT/SAML/GraphQL/Mobile/LLM/DoS）、305 个结构化 payload、263 个 WAF/EDR bypass变体、2887 份 HackerOne 真实 High/Critical 已披露案例、77,000+ WooYun 案例统计、国产 OA / 中间件指纹库、银行 / 电信行业垂直 playbook。当用户提到 "src 挖洞 / src vulnerability挖掘 / bug bounty / 众测 / hackerone / vulnerability赏金 / SRC / 任意 X vulnerability / penetration testing" 或问"如何挖某个target / 怎么测某个 API / 如何bypass WAF" 时触发。
argument-hint: "<target-or-program-or-phase>"
level: 2
---

## ACTION REQUIRED（读完后立刻execute）

1. `NOW`: read `../../field-journal/precedent-pentest.md` — 确认本 skill 的operation是已authorization的常规operation
2. `NOW`: 确认当前task是否hit本 skill 的适用scope
3. `NEXT`: read `../../tool-index.md`，checksumtoolavailable性和实际path
4. `NEXT`: 缺tool时调用 bootstrap，不要猜path
5. `ACT`: 进入"工作流"第一步并execute，不要停在确认status

# SRC Hunter — 实战vulnerability挖掘工作流

实战 Security Response Center / 众测 / Bug bounty 挖洞 skill。把白盒methodology翻译为黑盒探测，叠加真实案例统计与 payload 库。

---

## 何时使用本 skill

**critical词hit**：
- "src 挖洞" / "src vulnerability" / "src Testing" / "Security Response Center"
- "bug bounty" / "vulnerability赏金" / "众测"
- "hackerone" / "h1" / "bugcrowd" / "intigriti" / "yeswehack"
- "如何挖 / 怎么测 / 怎么打 + 某target / 某interface / 某parameter"
- "WAF bypass" / "bypass WAF" / "WAF bypass"
- "任意账号 / 任意modify / 任意delete / 任意operation" 类privilege escalation
- "password重置" / "找回password" 类逻辑
- "unauthorized访问" / "default凭据" / "Actuator" / "Spring 暴露" / "Redis unauthorized"
- 用户给一个 URL 或 API endpoint 让你测

**不应使用本 skill**：
- 纯白盒源码审计（用 `code-audit` skill）
- 已知vulnerability的remediation / defense问答（用通用对话）
- 单独的 CTF 题目（这是真实environment工作流）

---

## 工作流 — 5 phase

### Phase 1 · Intake（接单）

input：程序名 / SRC entry point URL / 子域。

要做的事：
- 抓 Scope（in-scope domains / IPs / mobile apps / API endpoints）
- 抓 Out-of-scope（禁测内容、第三方服务、cloud assets exclusions）
- 抓rule（payout tiers、disclosure window、retest policy、safe-harbor）
- 抓Testing账号 / Testing header（如 `X-Bug-Bounty: <handle>`）

**priority级判断**（基于hit类型预估hit率，参考 `references/methodology/05-srctimebox-priority.md`）：
- 6 小时窗口 → 跑高hit率类型（password重置 88% / 任意账号 86.4% / 提现 83.1%）
- 单日窗口 → 加上information disclosure + 资产暴露 + Actuator
- HVV / 重点期 → 全谱

→ 详见 [`references/methodology/00-index.md`](references/methodology/00-index.md)

### Phase 2 · Recon（被动侦察）

不发包给target的情报收集：

- **CT log**：crt.sh / Censys（找子域）
- **历史快照**：Wayback / CommonCrawl
- **GitHub 搜索**：`org:target` + critical词（password / api_key / SECRET）
- **搜index擎 dorks**：`site:target.com inurl:/admin`、`filetype:env`、`intitle:Index of`
- **ASN / IP 段**：bgp.he.net 找 IP 块
- **Favicon hash**：FOFA / Shodan 找同 favicon 资产
- **DNS 历史**：SecurityTrails / Whoisxmlapi

### Phase 3 · Enum（主动探测）

**资产枚举**：
- 子域：amass / subfinder / puredns / dnsx
- 存活：httpx / naabu
- 截图：gowitness / aquatone
- 内容finding：ffuf / feroxbuster / dirsearch
- 技术指纹：wappalyzer / webanalyze（同时查 `references/dictionaries/chinese-srcfingerprints.md` hit国产component）
- JS 提取：linkfinder / subjs / gau / katana
- 子域接管指纹：subjack / subzy

### Phase 4 · Hunt（vulnerability探测）

按攻击类型走对应 playbook，**每个 playbook 都包含**：methodology + parameter频率表 + 真实 H1 案例 + 结构化 payload + WAF bypass变体。

**priority级path**（按hit率 + 价值排序）：

| Playbook | entry pointhint | file |
|---|---|---|
| **unauthorized访问** | Actuator/Swagger/defaultport/弱password | `references/playbooks/unauth-access.md` |
| **information disclosure** | .git/.svn/.env/heapdump/path列举 | `references/playbooks/info-disclosure.md` |
| **任意 X privilege escalation** | 用户态 ID 可遍历/可modify | `references/playbooks/arbitrary-x-authz.md` |
| **业务逻辑** | password重置/支付/订单/验证码 | `references/playbooks/logic-flaws.md` |
| **OAuth/SAML/JWT** | authentication流/redirect_uri/token | `references/playbooks/oauth-saml-jwt.md` |
| **API REST** | BOLA/Mass Assignment/速率 | `references/playbooks/api-rest.md` |
| **SQLi** | 任何用户input进 DB | `references/playbooks/sqli.md` |
| **RCE** | deserialization/SSTI/XXE/原型链/framework | `references/playbooks/rce.md` |
| **SSRF** | URL 入参/缓存/Host injection | `references/playbooks/ssrf-cache-host.md` |
| **path traversal** | filepath入参/LFI/RFI | `references/playbooks/path-traversal.md` |
| **file upload** | upload点 + 解析vulnerability | `references/playbooks/file-upload.md` |
| **XSS** | 任何用户input进 HTML/JS | `references/playbooks/xss.md` |
| **HTTP 走私** | 反代 + Content-Length | `references/playbooks/http-smuggling.md` |
| **GraphQL** | introspection/嵌套 | `references/playbooks/graphql.md` |
| **竞态** | 并发请求 / TOCTOU | `references/playbooks/race-conditions.md` |
| **DoS** | ReDoS / 资源不限速 / 算法爆炸 | `references/playbooks/dos.md` |
| **移动端** | Android / iOS APK | `references/playbooks/mobile.md` |
| **LLM Agent** | Prompt injection / tool调用 | `references/playbooks/llm-prompt-injection.md` |
| **内网后penetration** | 凭据 / 横向 / 域 | `references/playbooks/intranet-postexp.md` |

**通用methodology**（不分攻击类型）：

| documentation | critical内容 |
|---|---|
| [`methodology/01-attack-priority.md`](references/methodology/01-attack-priority.md) | RCE>file写>authenticationbypass>injection>information disclosure 价值排序 |
| [`methodology/02-bypass-toolkit.md`](references/methodology/02-bypass-toolkit.md) | 通用bypass决策树 + 编码 / obfuscation / WAF |
| [`methodology/03-evidence-discipline.md`](references/methodology/03-evidence-discipline.md) | 黑盒evidencerule + 反幻觉 + 合规 |
| [`methodology/04-control-gap-hunting.md`](references/methodology/04-control-gap-hunting.md) | 9 类敏感operation → 应有控制 → 探测缺失 |
| [`methodology/05-srctimebox-priority.md`](references/methodology/05-srctimebox-priority.md) | 6h / 单日 / HVV / 月度 时间盒template |

**行业垂直 playbook**（资产相关时priority看）：

| 行业 | documentation | 何时用 |
|---|---|---|
| 银行 / 支付 / 金融 | [`industry/banking-finance.md`](references/industry/banking-finance.md) | target含支付 / 网银 / 第三方支付聚合 |
| 电信 / ISP | [`industry/telecom-isp.md`](references/industry/telecom-isp.md) | target是运营商 / BOSS / 网管 / 物联网卡 |

**dictionary / 凭据**：

| documentation | 用途 |
|---|---|
| [`dictionaries/default-credentials-cn.md`](references/dictionaries/default-credentials-cn.md) | 致远 / 通达 / 万户 / 泛微 / 用友 / 金蝶 / 华为 / 中兴 / 海康等国产凭据 |
| [`dictionaries/chinese-srcfingerprints.md`](references/dictionaries/chinese-srcfingerprints.md) | 国产 OA / 中间件指纹 + 高频parameter + 一键detectioncommand |

### Phase 5 · Report（提交）

→ 用template [`templates/report-submission.md`](references/templates/report-submission.md)

**三段式骨架**：
1. **标题**：精确到 endpoint + vulnerability类型，不超过 80 字
2. **重现step**：每步可execute / 截图 / HAR
3. **影响 + remediationrecommended**：CVSS 4.0 vector + 业务影响段

---

## MCP tool集成

本 skill 支持调用本地 MCP 服务器作为tool层。**主选 jshookmcp**(134 tool精选 / 386 全集 / 36 域,内置 Burp Suite bridge / Frida / WASM / 反debugging / Android adb / sourcemap 重构)。完整index与scenario映射:

→ [`references/tools/mcp-jshook.md`](references/tools/mcp-jshook.md)

default推荐 `search` profile(上下文成本 ~3K token),通过 `mcp__jshook__search_tools` + `mcp__jshook__activate_tools` 按需激活,避免 `full` profile 一次性加载 40K+ token。

---

## 数据资产规模

| 类别 | 量级 |
|---|---|
| 攻击类 playbook | 19 个 |
| 通用methodologydocumentation | 6 个 |
| 行业垂直 playbook | 2 个（银行 / 电信） |
| dictionary / 凭据 | 3 个 |
| reporttemplate | 1 个 |
| 结构化 payload | **305 条**（177 web + 128 内网） |
| WAF / EDR bypass变体 | **263 个step**，覆盖 23 类 Web 攻击 |
| toolcommand速查 | 114 条（Nmap/SQLMap/Burp/MSF/...） |
| HackerOne 真实案例（已披露 High/Critical） | **2887 份**，按 weakness 分到 141 个分类 MD |
| WooYun 历史案例统计（不可再生） | 88,636 条 |

H1 真实案例已**直接嵌入对应 playbook 末尾**（每个 playbook 末尾有"H1 真实案例" Top 12 表 + summary）。

---

## 合规与合法红线

每个 playbook 末段都有"不要做的事"。通用红线（任何 SRC 都遵守）：

- ❌ 出 scope 的资产 / domain → immediately停手并报备
- ❌ 实际取走他人 PII → 仅证明可访问，immediately销毁
- ❌ 持续负载 / DoS / 大流量 → 仅 1–3 个 PoC 包，immediatelystop
- ❌ modify他人数据（即使有写permission）→ 仅在自己控制的对象上验证
- ❌ 在生产做phishing或social engineering → 不做
- ❌ 提交未复现的猜测 → must有 HTTP 包 / 截图 / 视频evidence
- ✅ Testing header 标记自己（如 `X-Bug-Bounty: <handle>`）
- ✅ 用自己的两个账号自演privilege escalationscenario
- ✅ 用 OOB domain做 SSRF 探测，不要用别人的 DNSLog
- ✅ 提交前用 `references/templates/report-submission.md` 自查

---

## CLI 助记前缀

`srchunter`（如：`srchunter scope set <program>`、`srchunter recon run`、`srchunter findings new <type>`）。当前未实现 CLI，仅作命名约定。

---

## 引用 / 跨链结构

```
src-hunter/
├── SKILL.md                    # 本file — skill entry point
├── README.md                   # 项目description
└── references/
    ├── methodology/   6 docs   # 通用打法
    ├── playbooks/    19 docs   # 攻击类 playbook（每个含 H1 案例 + Payload 库）
    ├── industry/      3 docs   # 行业垂直
    ├── dictionaries/  3 docs   # dictionary / 凭据
    ├── templates/     1 doc    # reporttemplate
    ├── h1-reports/             # 2887 份 H1 report原始数据 + 141 类 MD
    │   ├── raw/                # 原始 JSON（resume / 二次分析用）
    │   └── by-weakness/        # 按 CWE 分类的 Markdown
    └── payloader/              # 305 条结构化 payload 数据
        ├── raw/                # JSON（机读）
        ├── by-category/        # 按分类的 MD
        ├── tools/              # toolcommand
        └── waf-bypass.md       # 263 step WAF bypass集
```


## Task Completion Checklist (MUST pass before claiming completion)

- [ ] 我是否execute了工作流中的每一步（而不是只阅读）？
- [ ] Did I use real tool paths based on `tool-index`?
- [ ] 我是否产出了可复现evidence（command/script/截图/report）？
- [ ] 我是否完成并回写了 RULES 要求的 Checklist 项？