红蓝网安 Src培训第2期（2026）

# 🏷
> #猫咪推荐Src #SRC漏洞挖掘 #SRC培训 #SRC实战 #漏洞挖掘 #BurpSuite #信息收集 #越权漏洞 #业务逻辑漏洞 #支付漏洞 #SQL注入 #SSRF #账号劫持 #云安全 #小程序安全 #AI大模型安全

---

#### ⬇️获取课程⬇️

# 🔍 课程介绍>>> 
是一套围绕 SRC 漏洞挖掘展开的实战型安全课程。课程从 SRC 平台规则、漏洞评级、BurpSuite 与抓包分析起步，逐步进入信息收集、越权、业务逻辑、支付、信息泄露、XSS、CSRF、SQL 注入、SSRF 等漏洞专题，并进一步覆盖云安全、AI 大模型环境、PC 客户端、小程序、APP 与 JS 逆向。配套材料包含工具、字典、案例报告、SRC 技巧文章及复盘内容，整体强调真实漏洞场景与持续挖掘能力。

## 知识与能力图谱

|模块|主要内容|能力目标|训练/资料形态|
|---|---|---|---|
|SRC认知与规则|SRC介绍、BBP平台、漏洞注意事项、评级标准|理解 SRC 基本参与方式与漏洞评级|平台列表、基础资料、课程课件|
|工具与流量分析|BurpSuite安装使用、抓包、数据包分析|能完成基础代理抓包与请求分析|BurpSuite、Charles、Proxifier、REP+|
|信息收集|SRC信息收集、资产测绘、ARL、域名与API字典|建立目标资产发现与整理能力|灯塔ARL、HiddenDomainHunter、各类字典|
|越权漏洞|越权专题两节、相关案例资料|识别权限边界与越权类问题|专题课、历史案例|
|业务逻辑漏洞|业务逻辑、密码找回、验证码等方向|从业务流程中寻找安全缺陷|逻辑漏洞资料、案例文章|
|支付安全|支付逻辑漏洞、交易支付案例|分析支付流程中的逻辑问题|专题课程、支付类案例|
|任意用户类漏洞|任意用户登录、账号体系相关问题|分析身份校验与账号控制风险|专题课、账号安全资料|
|信息泄露|信息泄露专题、GitHub泄露、配置不当|发现敏感信息暴露问题|信息泄露资料、字典与案例|
|XSS|XSS基础、文件上传触发XSS、POC|掌握XSS类漏洞的基础测试思路|XSS字典、POC、HTML/SVG/XML样例|
|CSRF|CSRF基础|理解并测试CSRF类问题|专题课与参考资料|
|SQL注入|SQL基础、MySQL语句、SQLMap与Burp插件|掌握基础注入测试及工具辅助|SQLMap、BP-SQL插件、在线SQL平台|
|SSRF|SSRF漏洞专题|识别SSRF类风险|专题课、SSRF参考资料|
|中低危漏洞|SRC中低危捡漏|扩展漏洞覆盖面，提高常规漏洞发现能力|专题课与案例|
|通用组件风险|SRC通用组件漏洞应用|识别组件相关安全风险|组件风险专题、历史案例|
|账号劫持|SRC账号劫持风险|分析账号接管类问题|两节课程、账户体系资料|
|云安全|云安全风险、存储桶基础与案例|面向云环境发现配置与存储相关问题|云安全资料、存储桶真实报告|
|AI大模型安全|AI大模型环境漏洞挖掘、信息收集复盘|将漏洞挖掘扩展至大模型应用环境|专题课、大模型安全资料|
|PC客户端安全|PC客户端漏洞挖掘|分析桌面客户端相关攻击面|Cheat Engine、ProcessExplorer、ProcMon等|
|小程序安全|小程序漏洞挖掘、SessionKey等|分析小程序接口与客户端侧风险|WMPFDebugger、Venom、SessionKey工具|
|APP安全|APP应用安全、反编译与抓包|进入移动应用安全测试场景|JADX、AppInfoScanner、Charles等|
|JS逆向|AES样例、JS逆向|分析前端JS及加密相关逻辑|JS脚本、AES登录样例|
|案例与复盘|SRC漏洞案例、众测报告、课程复盘|把单点漏洞知识连接到实际挖洞过程|漏洞报告、案例分享、复盘课|

课程主线可以概括为：

**SRC规则 → 工具与数据包 → 信息收集 → Web漏洞专题 → 业务与账号安全 → 云/客户端/小程序/APP → AI与JS逆向 → 案例复盘**

## 深度亮点剖析

- **不是只讲传统 Web 漏洞。** 后半程继续进入云安全、大模型环境、PC客户端、小程序、APP和JS逆向，攻击面覆盖明显扩展。
    
- **工具链与课程内容绑定较深。** 除 BurpSuite 外，还配套 ARL、SQLMap、JADX、Cheat Engine、Process Monitor、Charles、Proxifier 等实际工具。
    
- **业务逻辑类内容占比突出。** 越权、业务逻辑、支付、任意用户、账号劫持均被单独拆课，不只是围绕注入、XSS等技术漏洞展开。
    
- **资料库具有明显的案例复盘属性。** 提供存储桶对象名爆破、二维码设计缺陷等报告，并附大量 SRC、众测及历史漏洞挖掘文章。
    
- **训练资源偏“挖洞工具箱”。** API、子域名、用户名、密码、XSS、验证码等字典，以及抓包、反编译、小程序调试工具均直接随课提供。

## 行业/专业背景溯源

**SRC**是整套课程最核心的场景词。资料中同时出现“SRC平台、BBP平台、漏洞评级标准、SRC漏洞案例、SRC复盘分享、SRC最新技巧”等内容，因此课程并非泛化网络安全培训，而是以实际漏洞提交与漏洞挖掘场景组织知识。

**BBP**与 SRC 平台并列出现在平台资料和第一节课程中，属于课程前期需要认识的平台体系。

资料还单独收录 **CNVD证书经验分享**，但从当前目录无法确认其是否属于正式教学主线，更接近补充资料。

“大模型安全”也并非仅作为阅读材料出现，正式课程中设置了“AI大模型环境下漏洞挖掘”，配套资料还出现“大模型应用安全问题”“大模型应用场景漏洞剖析”“大模型黑盒RCE挖掘”等内容。

## 课程定位判别

**定位：SRC漏洞挖掘专项实战型课程，整体由基础入门逐步进入多场景进阶。**

前几节从 SRC 规则、工具安装、Burp 数据包和信息收集起步，说明课程给基础阶段留出了入口；中段集中训练越权、业务逻辑、支付、XSS、SQL注入、SSRF等漏洞类型；后段则明显提升复杂度，进入云安全、PC客户端、小程序、APP、AI大模型和JS逆向。30节正式课程之外又配置大量报告、工具和真实案例，重心明显放在“实际找漏洞”而非单纯理解漏洞定义。

## 适合什么人看

- 想系统进入 **SRC漏洞挖掘**，需要从平台规则、工具和信息收集开始建立流程的人。
    
- 已接触基础 Web 安全，希望重点加强 **越权、支付、账号劫持、业务逻辑漏洞** 的学习者。
    
- 希望把漏洞挖掘范围从 Web 扩展到 **云、小程序、APP、PC客户端** 的学习者。
    
- 对 **AI大模型应用安全** 和新型漏洞场景有进一步训练需求的人。
    
- 更偏好通过工具、案例、漏洞报告和复盘材料学习，而不是只看理论知识的人。

# ☁️📚🛠️ 网盘目录（仅展示部分目录）>>>