仅当用户问"哪个最值得先测" → Read references/methodology/05-srctimebox-priority.md。

Phase 2 · Recon(被动侦察)

进入条件:Phase 1 checkpoint 四项全过。

禁止:任何主动发包(端口扫描 / 路径爆破 / payload 测试)。

MUST 输出:不发包给目标得到的资产清单 + 历史信息,来源 ≥3 种:

• CT 日志(crt.sh / Censys)
• Wayback / CommonCrawl 历史快照
• GitHub dorks(org:target + password|api_key|SECRET|.env)
• FOFA / Shodan favicon hash
• SecurityTrails / DNS 历史
• ASN / IP 段(bgp.he.net)

Phase 3 · Enum(主动探测)

进入条件:Phase 2 资产清单非空。

MUST 输出:活资产矩阵——域 → 端口 → 服务 → 指纹 → JS endpoint。

条件触发 Read(命中就必读,不命中不读):

| 命中信号 | MUST Read | |---|---| | 指纹含 weaver/seeyon/tongda/landray/yongyou/kingdee/hikvision/dahua | references/dictionaries/chinese-srcfingerprints.md + references/dictionaries/default-credentials-cn.md | | 资产含 银行 / 支付 / 网银 / 第三方支付聚合 | references/industry/banking-finance.md | | 资产含 运营商 / BOSS / 网管 / 物联网卡 | references/industry/telecom-isp.md |

Phase 4 · Hunt(漏洞探测)

进入条件:Phase 3 矩阵 ≥1 个候选目标。

强制流程(每个候选目标走一遍):

1. 看目标信号,从下表选 1 个 playbook
2. Read 该 playbook 文件(不准跳过、不准凭记忆替代)
3. 按 playbook 的"参数频率表"挑入口
4. 按 playbook 的"payload 库"探测——payload 来自文件,不来自训练记忆
5. 被 WAF 拦 → Read references/methodology/02-bypass-toolkit.md 决策树
6. 命中后立即保存 HTTP 包 / 截图 → 进 Phase 5 候选

| 入口信号 | MUST Read | |---|---| | Actuator / Swagger / 默认端口 / 弱密码 | references/playbooks/unauth-access.md | | .git / .svn / .env / heapdump / 路径列举 | references/playbooks/info-disclosure.md | | 用户态 ID 可遍历 / 任意 X 越权 | references/playbooks/arbitrary-x-authz.md | | 密码重置 / 支付 / 验证码 / 订单 / 提现 | references/playbooks/logic-flaws/00-index.md | | OAuth / SAML / JWT / redirect_uri | references/playbooks/oauth-saml-jwt/00-index.md | | REST API / BOLA / Mass Assignment / 速率 | references/playbooks/api-rest/00-index.md | | 任何用户输入进 DB | references/playbooks/sqli.md | | 反序列化 / SSTI / XXE / 原型链 / 框架 RCE | references/playbooks/rce/00-index.md | | URL 入参 / 缓存 / Host 注入 | references/playbooks/ssrf-cache-host/00-index.md | | 文件路径入参 / LFI / RFI | references/playbooks/path-traversal/00-index.md | | 上传点 + 解析漏洞 | references/playbooks/file-upload/00-index.md | | 用户输入回显到 HTML / JS | references/playbooks/xss/00-index.md | | 反代 + Content-Length / TE | references/playbooks/http-smuggling.md | | GraphQL endpoint / introspection | references/playbooks/graphql.md | | 并发 / TOCTOU | references/playbooks/race-conditions.md | | ReDoS / 资源不限速 / 算法爆炸 | references/playbooks/dos.md | | APK / IPA / 移动端 | references/playbooks/mobile.md | | LLM agent / prompt 入口 / 工具调用 | references/playbooks/llm-prompt-injection/00-index.md | | 已拿到 shell / 凭据 / 内网 | references/playbooks/intranet-postexp/00-index.md |

两步 Read 模式(已拆分的 playbook):目录形式的 playbook(rce/ / oauth-saml-jwt/ / ssrf-cache-host/ / api-rest/ / logic-flaws/ / file-upload/ / path-traversal/ / xss/ / llm-prompt-injection/ / intranet-postexp/)第一步只 Read 00-index.md——它含子文件路由表和通用方法论。不要把 00-index 当 payload 库用,据子文件路由定位到具体场景后再 Read 对应子文件(如 rce/14-ssti.md / oauth-saml-jwt/12-jwt.md)。单文件形式的 playbook(sqli.md / xxx.md)直接 Read 即可。

通用方法论(仅在卡壳时 Read,不要预加载):

• 不知道下一步打什么 → references/methodology/01-attack-priority.md
• 被 WAF / EDR 拦 → references/methodology/02-bypass-toolkit.md
• 怀疑自己幻觉 / 想检查证据链 → references/methodology/03-evidence-discipline.md
• 找不到漏洞点 → references/methodology/04-control-gap-hunting.md

Phase 5 · Report(提交)

进入条件:Phase 4 至少一个 finding 已具备可重现 HTTP 包 / 截图 / 视频。

MUST 流程(顺序执行):

1. Read references/compliance.md 核对合规红线(不准跳)
2. Read references/templates/report-submission.md 取模板
3. 三段式输出:
   • 标题:≤80 字,精确到 endpoint + 漏洞类型
   • 重现步骤:每步可执行,带 HTTP 包 / curl / 截图
   • 影响 + 修复建议:CVSS 4.0 vector + 业务影响段

MCP 工具集成

默认 mcp__jshook__search_tools + mcp__jshook__activate_tools 按需激活(~3K token)。完整索引仅在用户问"用什么工具 / Burp / Frida / adb"时 Read:references/tools/mcp-jshook.md。

7 个高关联 playbook（xss / rce / ssrf-cache-host / mobile / oauth-saml-jwt / api-rest / file-upload）末尾各有 ## 相关 MCP 工具 反向锚点，指明该攻击面下应该调哪些 jshook 工具、何时调。

TODO

• 支持引入更多 tools
• 多 agent 执行工作流

触发关键词

skill 内置触发词包括：

• bug bounty、HackerOne、SRC 挖洞、漏洞赏金、众测
• WAF bypass、绕过 WAF
• 如何测试某个 endpoint / API / 参数
• 任意账号、任意修改、任意删除
• 密码重置、找回密码
• 默认凭据、Actuator、暴露的管理后台

也可以显式调用：

/src-hunter <target>

Playbook 列表

| Playbook | 嵌入 H1 案例数 | |---|---:| | arbitrary-x-authz（IDOR / 任意账户 / 提权） | 465 | | rce（反序列化 / SSTI / XXE / 框架） | 385 | | xss | 335 | | info-disclosure | 319 | | oauth-saml-jwt | 240 | | logic-flaws（CSRF / 点击劫持 / 支付） | 234 | | path-traversal / LFI / RFI | 163 | | sqli | 147 | | dos | 138 | | ssrf-cache-host | 108 | | unauth-access（默认凭据 / Actuator / 暴露服务） | 46 | | http-smuggling / CRLF | 38 | | api-rest / WebSocket | 15 | | file-upload | 8 | | mobile（Android / iOS） | 8 | | race-conditions | 5 | | llm-prompt-injection | 1 | | graphql | 1 | | intranet-postexp（内网 / 后渗透速查） | — |

数据来源

• HackerOne hacktivity feed：2887 份已披露 High / Critical 报告，来源为公开数据。
• WooYun 历史档案：覆盖 88,636 条案例，仅保留参数频率、案例 ID 和 bypass 模式等统计残余。
• Payloader：305 条结构化 payload + 263 个 WAF / EDR 绕过步骤 + 114 条工具命令，原仓库为 3516634930/Payloader。

本项目只整理、翻译和重组公开资料，不包含专有数据，也不抓取需要认证的内容。

红线

每个 playbook 末尾都写了具体的边界，下面是抽出来的几个最常踩的点：

• 样本控制：SQLi 探测到库名 / 版本即可证明，不要 dump 数据；IDOR、Mongo / ES 拉数据 1–3 条样本就够，别全量。
• 测试账号自演：越权、密码重置、JWT 伪造、redirect_uri、XSS 盲打全部用自己注册的两个号互测，不要碰陌生人的账号——即使能。
• 只读，不写：拿到 RCE 只跑 id / whoami / uname -a；Redis / Mongo 默认未授权只 info / ping / db.version()；任意文件读看到 root:x: 一行即停，不读 /etc/shadow。
• 不真做副作用动作：不真发短信、不真扣款、不真发邮件、不真退款、不真覆盖文件、不真改公告 / 邮件模板。证明接口能调通 + 200 即停。
• DoS / 并发：单次复现 ≤ 60s，串行做 5 次足够。竞态并发 50–100，绝不 1000+。短信 / 邮件不限速这种，发到自己手机 5–10 次为止。
• 不留物：webshell、heapdump、备份、dump 出来的源码——本地保存，报告后立即删除，不要 push 到 GitHub / 第三方网盘。
• 凭据：拿到不用：泄露的 AWS / Stripe / 数据库凭据，仅 sts get-caller-identity / 看 banner 验证，绝不用来扣款 / 发邮件 / 连接生产库。
• 报告里所有 PII 脱敏：手机号、邮箱、用户名、token、cookie 留前 2 + 后 2，必要时附 sha256 指纹证明拿到过原文。
• OOB 验证：不要使用公开的公共 DNSLog 平台，使用厂商提供的 SSRF 测试平台，或自架 interactsh / 自有 DNSLog。
• 没抓包就没发现：所有断言都要有 HTTP 包 / 截图 / 视频，不要凭"应该"提交。

具体到每类漏洞还有更细的限制（DoS 类最敏感、上传不留 webshell、读类只读 1 条样本等），看对应 playbook 的最后一节。

友情链接

linuxdo

License

MIT。

数据来源均为公开资料。本项目主要做资料整理、翻译、归类，并封装成适合黑盒漏洞挖掘使用的 Claude Code skill。