如何入门漏洞挖掘，以及提高自己的挖掘能力

二.
漏洞挖掘类型总结
如果你刚刚好是一个刚刚学完基础的小白，那么你的漏洞清单可能是这样的。
暴力破解漏洞
sql注入漏洞
命令执行漏洞
xss漏洞（跨站脚本）
csrf漏洞（跨站伪造请求）
xxe漏洞
文件上传漏洞
文件包含漏洞
各cms的公开漏洞
没错差不多就是这样的。当然也有可能一些没用写到，因人而异。
如果你有幸看到一个大佬的漏洞清单。那么有可能除了上面那些，还多了下面这几项
逻辑漏洞
ssrf漏洞
信息泄露
js文件可能存在的未授权访问
组合漏洞
……
然而这些也只是一部分，不过我不是大佬，不过欢迎大佬补存，下面我就单讲一下我补充的几种漏洞类型吧。

四.
个人提高漏洞挖掘能力的方法
这一节讲一下挖掘漏洞应该如何提高和应该有哪些好的习惯。
细心
耐心
会看
会记
懂收集
勤动手
爱学习
细心
细心放在第一位，是因为细心真的是非常非常非常重要，我有幸请教过很多大佬成功的秘籍，他们告诉我的第一个词语就是细心，正所谓心细则挖天下。
很多漏洞都是需要细心才可以发现，不放过数据包中的任何一个参数，不放过网站的任意一个点，我曾问过团队的小石师傅，如何挖掘那些很多人都挖过的src，这么多人都挖过，一些功能点我还要在测一遍吗。
小石师傅并没有给我直接回答，而是讲了他一个漏洞的挖掘经历，那是挖美团的时候，小石师傅直接主站开始挖，并且在个人资料一个很明显的地方，挖到了一个储存xss的高危漏洞。
所以，在我们进行漏洞挖掘的时候，不要放弃任何一个可能存在漏洞的地方，每个人都有不同的挖掘方式，网站这么大，总会有几个漏测的地方，并且一个漏洞修复了，谁敢保证，修复完了，就不能再修一个漏洞出来了呢。
耐心
耐心同细心一样，可以说是一对cp。如果你本身就足够信心，那么我想你的耐心也不会差。如果说细心是你漏洞挖掘的利剑，那么耐心就是你的磨刀石，很多时候，碰到一个破站盯几天才能挖到一个漏洞，你坚持下来了就是胜利者
有人说挖洞，也是个运气活，运气好了随随便便就是几个高危，运气不好，几天也挖不到一个。
虽然有一定的道理，但是当你的能力足够强，有了自己的套路，想挖漏洞还是轻松加愉快。
会看、会记
会看，会记。这个就简单了，就是要多看多记，多看漏洞详情，多看技术文章，漏洞详情可以在乌云看，还有网上很多人分享的案例，主要是乌云。
看完就要记，要让你看的东西真正的成为你的东西，如果你面对一个厂商，还是有无从下手的感觉，就去乌云看漏洞详情，一个一个看，然后把漏洞出现的位置，以及使用的一些技巧记下来，成为属于自己的漏洞挖掘手册，这也是我最近在做的一个事情。
还有一些好的文章，好的技巧，或许你一时半会也用不到，但是你要学会记，总有用到的一天。
懂收集
key师傅说过，漏洞挖掘说白了就是一个fuzz的过程，而fuzz最关键的是什么，就是一本高效的字典，没错我们要学会收集字典，想公开的字典有fuzzdb，是一个非常好的fuzz字典合集
当然我们在收集他人字典的同时我们也要自己收集字典，曾经看到一个大佬，搜集了github大量的开发项目的路径，然后组成字典。
我也不要求小白可以写程序然后自动收集字典，但是，我们在平时的漏洞挖掘过程中，遇到的一些东西还是要多多的去收集一下，逐步慢慢的形成自己的一本专用字典，绝对可以提高你的漏洞挖掘效率。
当你有一本自己收集的字典时，相信你也成为一名大佬了。
勤动手
当你看了大量漏洞，记了大量笔记，这个时候，我相信你最需要的，就是实战，实战是可以把所学所看融会贯通的最快方法，没有之一，只有实战可以锻炼自己的挖洞能力，和效率。
看到新的漏洞多去搭建环境复现，这也是对能力的一种提升。
爱学习
学习，学无止境，又是我key师傅说过，知识面有多广，决定了你可以挖多少漏洞，多学习，至于学什么呢，学js，学代码审计，学开发，学json，等等等等，
有的时候真的感觉，你要成为一个开发人员，了解详细的信息传输和交换原理，才可以挖到更加深入的漏洞。
如果有一天你感觉挖不到漏洞了，不如放下手头的一切去学习吧，小伙子。

比米斯特的？

愿你们严厉打击诈骗犯，可恶的诈骗犯，骗走了我的生活费，学费，还哄骗我贷款，哄我跟朋友借钱，现在每天都过得生不如死，可恶的🀄️阅 APP😡