这段时间挖掘了挺多的 SRC 漏洞，虽然都是一些低危漏洞，也没有一些高级的漏洞挖掘利用手法，但是闲下来也算是总结一下，说说我对 SRC 漏洞挖掘的思路技巧。
很多人可能都挖过很多漏洞其中包括一些 EDU 或者别的野战，但是对于 SRC 往往无从下手，感觉自己挖不到 SRC 漏洞，这里其实最重要的问题还是自己的心理问题，当然必须还有一定的技术能力。
很多都感觉自己挖那种大厂的漏洞都挖不到，挖上一两个小时或者半个小时就不挖了，没什么进展，往往这种想法是错误的。其实对于一些 SRC 漏洞挖掘和别的站点漏洞挖掘都大差不大，但是为什么都感觉自己挖不到，这里说下我的认为，还是因为你不够细。
挖 SRC 一定要细，慢慢的去分析，不能着急往往越着急越挖不到，这里可以给大家一些建议，在挖掘 SRC 期间：
- 不要着急出洞，先去慢慢摸索厂商的各种信息，了解每个功能点（做好信息搜集）
- 去分析每一个数据包，知道每个数据包对应的功能点在哪儿，去知道数据包对应鉴权的地方在哪一块
- 多去关注厂商的活动，一般新上线的项目或者活动漏洞比较好挖一些
- 关注厂商信息，比如一些活动期间奖励翻倍等信息
- 千万要记住去看人家厂商的漏洞收录范围，不看范围挖漏洞=白干
SRC 逻辑漏洞一般产出比较高的漏洞就在于逻辑漏洞，别的漏洞也有但是相比起来逻辑漏洞的价值更高
0x01 国内的一些公益 SRC 漏洞平台
- 漏洞盒子：https://www.vulbox.com
- 补天漏洞响应平台：https://www.butian.net
- CNNVD 信息安全漏洞库：https://www.cnnvd.org.cn
- 教育漏洞提交平台：https://src.sjtu.edu.cn
漏洞盒子：
奖励： 中等，奖励的话有现金还有积分，积分可以在商城内兑换礼物
通过门槛： 门槛比较低，只要是漏洞都收，没有权重或者公司的一些要求，审核不是很严格，刚入门的师傅可以提交到漏洞盒子，练练手，积累一下经验和技巧
审核速度： 一般吧，有时候快有时候慢
补天漏洞响应平台：
奖励： 中等，可以给现金和 KB，KB 可以兑换实物奖励
通过门槛： 高，需要收录移动百度权重大于等于 1 或者百度 PC 权重大于等于 1 或者谷歌权重大于等于 3 的网站，EDU 和 GOV 的站不需要权重
审核速度： 快
CNNVD 信息安全漏洞库：
奖品： 高，可以给你证书
通过门槛： 极高，不仅仅要看权重，而且还要看公司的注册资金，好像是通用型的漏洞，厂商注册资金要超过五千万，而且还不能只提交一个，要提交十个案例才可以
审核速度： 一般
教育漏洞提交平台：
奖品： 高，有大学专门给的证书，和一些礼品
通过门槛： 高，必须要 EDU 和教育相关的网站，例如说大学，中学，高中这些
审核速度： 一般
这里只列举最简单并且比较知名的一些公益 SRC 提交平台，还有一些其他的公益 SRC 提交平台，就不一一列举了
0x02 前期的准备工作
一些在线的搜索引擎网站：
（一）资产测绘引擎
- FOFA 资产测绘引擎：
