扫描器狂扫一通，漏洞全被驳回？SRC新手最容易犯的20个错误来了！

沧海讲安全

2026年10月8日 17:15
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

不少新人刚接触SRC，拿着Xray、Burp一通乱扫，交了一堆报告，结果大多被驳回、判重或定为无效低危，账号信誉也跟着掉，后续真实漏洞的审核反而变慢。

SRC审核每天要看上百份报告，光扫出来不算漏洞，能稳定复现、有实际业务危害、证据链完整，才会被收录。

本文梳理新手在挖洞、验证、提交环节的高频踩坑点，并给出可落地的改进方法，帮你提升漏洞通过率。

一、挖洞前：授权与范围（最严重，甚至违规）

• 坑 1：不看 SRC 规则，直接乱测

每个厂商 SRC 都写了允许测试域名、禁止操作行为、排除资产。很多新手直接忽略，上来扫主站、爆破账号、批量遍历用户 ID。

• 禁止行为举例：暴力破解、DOS、批量爬取用户数据、测试第三方供应商资产；
• 排除资产：CDN、第三方登录、第三方小程序、广告域名，这类资产漏洞厂商不收录。

正确做法：

• 注册 SRC 第一件事，通读安全公告、收录范围、禁止行为；
• 只在 Scope 域名内测试，不在禁止时段扫描；

• 测试前截图留存官方授权范围，避免后续争议。

• 坑 2：目标选错，死磕大厂主站

大厂主站防护完善，WAF、代码审计、安全巡检常态化，新手很难挖到有效漏洞，大量时间白白浪费。

思路：新手优先选择二级子域名、测试站、dev/test 后台、营销活动站点，或者中小厂商 SRC 练手；等熟悉报告撰写和漏洞验证，再尝试大厂。

• 坑 3：扫描无节制，高并发、业务高峰期扫描

直接拉满 Xray/Burp 并发，白天业务高峰期大量发包。

后果：触发 WAF 拉黑 IP、业务卡顿，厂商直接判定为破坏性测试，漏洞直接驳回，严重会封号。

建议：控制并发，尽量凌晨低峰期扫描；发现响应异常立刻停止发包。

二、漏洞挖掘阶段：分不清真实漏洞和伪漏洞（驳回重灾区）

• 坑 1：直接提交扫描器原始告警，不人工复核

新手最大通病，Xray 扫出告警直接复制报告提交。扫描器输出的只是线索，不是漏洞，大量盲注、XSS、版本指纹都是误报。

典型无效提交：

• 仅 DNSlog 收到请求，没有实际回显、无法执行命令，直接提交 RCE；
• 时间盲注仅单次延时，没有多次对比基准请求，网络波动导致的假阳性；
• 仅检测到 Web 服务版本老旧，但厂商已经打补丁，只是版本号未更新。

验证标准：

• 拿到扫描 payload，放到 Repeater 手动重放，稳定复现；
• 增加基准请求对比，排除网络、服务器负载带来的误报；

• 确认漏洞可产生实际危害，而仅仅是页面报错。

• 坑 2：把产品 BUG 、页面展示问题当成安全漏洞

很多新手提交页面排版错乱、404 提示、按钮无效、静态页面报错。这类属于产品功能 bug，不属于安全漏洞，直接忽略。

还有 Self-XSS：必须用户手动复制粘贴 payload 才能触发，无法被攻击者诱导自动执行，绝大多数 SRC 不收录。

简单判断：攻击者是否可以在不诱导用户手动操作的前提下，造成数据泄露、越权、资金损失、账号接管。不能，则大概率不属于安全漏洞。

• 坑 3：重复提交、拆分成多条报告刷数量

同一个接口同类型越权，或者同一个备份文件泄露，拆成多条报告提交，想多拿赏金。SRC 审核规则里，同类漏洞会合并，多余报告标记重复，还会降低账号信誉。

反过来：多个不同 URL 的同类型漏洞，可以合并成一份报告，统一写影响范围，赏金通常不会减少。

• 坑 4：测试越权、接口遍历，批量爬取大量用户敏感数据

测试水平越权时，循环遍历大量用户 ID，一次性拿到几十上百条用户手机号、订单信息。

重大风险：批量拉取大量敏感数据，属于超出安全测试边界，厂商会直接驳回，甚至判定违规。

验证越权：仅选取 2~3 个不同账号 ID 做验证，证明漏洞存在即可，不要批量导出全部数据。

三、漏洞定级坑：乱拔高漏洞等级，直接降档 / 驳回

新手容易高估漏洞危害，把低危信息泄露直接标记高危，审核人员重新定级，甚至直接忽略。

常见定级踩坑：

• 普通目录泄露、phpinfo、无敏感信息的 git 源码泄露 → 一般低危，不能标高危；
• 普通无敏感操作的 CSRF（仅订阅、增加浏览量），大部分 SRC 判定无效；
• 普通 URL 跳转，无法配合钓鱼、无法携带敏感信息，低危或忽略；
• SSRF 只能访问公网，无法访问内网资源，很多平台不计入高危。

定级思路：提交前对照该 SRC 官方评分标准，按实际危害定级，不要虚高；宁可稍微保守，不要夸大危害。

四、报告撰写坑：证据不全，审核员无法复现（最常见驳回原因）

审核员每天处理大量报告，如果照着你的步骤无法复现漏洞，直接驳回。

• 坑 1：报告过于简略，缺少关键信息

一句话报告示例：网站存在SQL注入，请求包如下。没有分步操作、没有截图、没有证明危害。审核员需要自己摸索，直接忽略。

• 坑 2：截图只截成功结果，缺少完整请求包、原始响应

只放结果截图，没有 Burp 原始请求响应包。漏洞提交，请求包 + 响应包是核心证据，截图是辅助。

比如越权漏洞，必须提供：账号 A 正常查询包、替换 ID 为账号 B 后的请求包、返回 B 用户数据的响应。

• 坑 3：复现步骤逻辑跳跃，省略前置条件

典型：JWT、Cookie  鉴权类漏洞，报告直接放 payload，没写怎么拿到有效 Cookie/JWT；业务漏洞跳过登录步骤，审核员无法复现。

一份合格 SRC 报告必备结构：

小技巧：写完报告，自己清空 Cookie，从头完整复现一遍。如果自己都跑不通，审核员肯定也无法复现。

• 坑 4：AI 一键生成报告，未经人工核对

直接用 AI 生成漏洞报告，复制提交。很多厂商 SRC 公告明确说明：AI 生成报告必须人工验证；纯 AI 生成、没有人工验证证据的报告直接驳回，多次提交会影响账号信誉。

AI 可以辅助写初稿，但请求包、截图、复现过程、危害描述，全部人工核对修改。

五、验证漏洞时的细节坑，导致证据无效

• 坑 1：漏洞依赖临时环境，提交前漏洞已经修复

挖到漏洞之后，拖很久才提交，厂商迭代上线，漏洞已经修复，提交直接标记无法复现。

挖到漏洞立刻保存完整请求包、截图，尽快提交；提交前，再重放一次确认漏洞仍然存在。

• 坑 2：混淆 “理论可行” 和 “实际可利用”

仅 DNSlog 收到请求，没有进一步操作，直接提交命令执行；或者只能在本地环境触发，线上无法利用。大部分 SRC 不收录纯理论漏洞。

一句话判断：攻击者拿到这个漏洞，能不能拿到数据、执行操作。仅仅触发 DNSlog 外带，不算完整可利用漏洞。

• 坑 3：忽略 WAF 临时放行，误判漏洞永久存在

测试时自己 IP 被临时放行，payload 可以执行；换一个 IP 测试直接被 WAF 拦截。提交漏洞之后，审核员使用其他 IP 无法复现。

建议：换 IP、清除缓存，多次验证，确认不依赖 IP 白名单。

六、提交之后：跟进沟通的坑

• 坑 1：提交报告后，不再关注留言

审核员留言补充材料，长时间不回复，报告直接标记忽略。

建议：提交后定期查看 SRC 站内消息，审核人员需要补充证据时，尽快提供。

• 坑 2：和审核人员争执，坚持错误定级

审核员降级或者判定忽略，新手直接和审核争论，坚持自己的定级。

建议：可以礼貌询问驳回原因，学习评分规则；不要硬杠。如果确实有遗漏证据，补充请求包和截图，重新评估。

• 坑 3：提交前在公开社区泄露漏洞细节

在 CSDN、抖音、微信群提前发布漏洞细节，厂商收到报告发现漏洞已经公开，可能直接不予收录。

建议：遵守漏洞披露规则，厂商修复完成后，经过许可，再公开研究文章。

「最后」

如果你真的想学好一门本事，首先就要考虑自己对这门技术的兴趣，没有天赋还能靠时间和努力去弥补，但如果没有兴趣加持，就很难坚持到最后。

你要是正打算尝试网安或者想努力一次，我把这些年用过的视频教程和学习笔记都梳理出来了，现在都无偿分享给大家，需要的找我拿就行（文末自取）。

现在哪个行业都不好走，如果没有学历也没有天赋，那就只有努力和坚持了，请相信相信的力量，共勉！

沧海专属黑客/网络攻防技术资料

@沧海讲安全：在安全圈待了十多年，已经积累了很多的技术教程，在计算机这个行业，如果不会主动学习，手里没点学习资料，注定是走不远的。我整理的这些资料包含了市场上主流的攻防技术，不说让你成为黑客大佬，帮助你从0到进阶网络安全技术问题不大。

平台铭感，拿资料、学技术看⬇（无偿共享）

部分技术资料预览

01

视频教程

从0到进阶主流攻防技术视频教程（包含红蓝对抗、CTF、HW等技术点）

02

书籍Pdf

入门必看攻防技术书籍pdf（书面上的技术书籍确实太多了，这些是我精选出来的）

03

安装包/源码

主要攻防会涉及到的工具安装包和项目源码（防止你看到这连基础的工具都还没有）

04

面试试题/经验

网络安全岗位面试经验总结（谁学技术不是为了赚$呢，找个好的岗位很重要）

平台铭感，拿资料、学技术看⬇（无偿共享）

@沧海讲安全：只要你是真心想学黑客/网络安全技术，我这份资料就可以无偿共享给你学习，但是想学技术去乱搞的人别来找我，目前全球网络环境日益紧张，我国在这方面的相关人才比较紧缺，网络安全行业确实也需要更多的有志之士加入进来，我也真心希望帮助大家学好这门技术，如果日后有啥学习上的问题，欢迎找我交流。