扫描器狂扫一通，漏洞全被驳回？SRC新手最容易犯的20个错误来了！
不少新人刚接触SRC，拿着Xray、Burp一通乱扫，交了一堆报告，结果大多被驳回、判重或定为无效低危，账号信誉也跟着掉，后续真实漏洞的审核反而变慢。
SRC审核每天要看上百份报告，光扫出来不算漏洞，能稳定复现、有实际业务危害、证据链完整，才会被收录。
本文梳理新手在挖洞、验证、提交环节的高频踩坑点，并给出可落地的改进方法，帮你提升漏洞通过率。
一、挖洞前：授权与范围（最严重，甚至违规）
- 坑 1：不看 SRC 规则，直接乱测
每个厂商 SRC 都写了允许测试域名、禁止操作行为、排除资产。很多新手直接忽略，上来扫主站、爆破账号、批量遍历用户 ID。
- 禁止行为举例：暴力破解、DOS、批量爬取用户数据、测试第三方供应商资产；
- 排除资产：CDN、第三方登录、第三方小程序、广告域名，这类资产漏洞厂商不收录。
正确做法：
注册 SRC 第一件事，通读安全公告、收录范围、禁止行为；
只在 Scope 域名内测试，不在禁止时段扫描；
测试前截图留存官方授权范围，避免后续争议。
坑 2：目标选错，死磕大厂主站
大厂主站防护完善，WAF、代码审计、安全巡检常态化，新手很难挖到有效漏洞，大量时间白白浪费。
思路：新手优先选择二级子域名、测试站、dev/test 后台、营销活动站点，或者中小厂商 SRC 练手；等熟悉报告撰写和漏洞验证，再尝试大厂。
- 坑 3：扫描无节制，高并发、业务高峰期扫描
直接拉满 Xray/Burp 并发，白天业务高峰期大量发包。
后果：触发 WAF 拉黑 IP、业务卡顿，厂商直接判定为破坏性测试，漏洞直接驳回，严重会封号。
建议：控制并发，尽量凌晨低峰期扫描；发现响应异常立刻停止发包。
二、漏洞挖掘阶段：分不清真实漏洞和伪漏洞（驳回重灾区）
- 坑 1：直接提交扫描器原始告警，不人工复核
新手最大通病，Xray 扫出告警直接复制报告提交。扫描器输出的只是线索，不是漏洞，大量盲注、XSS、版本指纹都是误报。
典型无效提交：
- 仅 DNSlog 收到请求，没有实际回显、无法执行命令，直接提交 RCE；
- 时间盲注仅单次延时，没有多次对比基准请求，网络波动导致的假阳性；
- 仅检测到 Web 服务版本老旧，但厂商已经打补丁，只是版本号未更新。
验证标准：
拿到扫描 payload，放到 Repeater 手动重放，稳定复现；
增加基准请求对比，排除网络、服务器负载带来的误报；
确认漏洞可产生实际危害，而仅仅是页面报错。
坑 2：把产品 BUG 、页面展示问题当成安全漏洞
很多新手提交页面排版错乱、404 提示、按钮无效、静态页面报错。这类属于产品功能 bug，不属于安全漏洞，直接忽略。
还有 Self-XSS：必须用户手动复制粘贴 payload 才能触发，无法被攻击者诱导自动执行，绝大多数 SRC 不收录。
简单判断：攻击者是否可以在不诱导用户手动操作的前提下，造成数据泄露、越权、资金损失、账号接管。不能，则大概率不属于安全漏洞。
- 坑 3：重复提交、拆分成多条报告刷数量
同一个接口同类型越权，或者同一个备份文件泄露，拆成多条报告提交，想多拿赏金。SRC 审核规则里，同类漏洞会合并，多余报告标记重复，还会降低账号信誉。
反过来：多个不同 URL 的同类型漏洞，可以合并成一份报告，统一写影响范围，赏金通常不会减少。
- 坑 4：测试越权、接口遍历，批量爬取大量用户敏感数据
测试水平越权时，循环遍历大量用户 ID，一次性拿到几十上百条用户手机号、订单信息。
重大风险：批量拉取大量敏感数据，属于超出安全测试边界，厂商会直接驳回，甚至判定违规。
验证越权：仅选取 2~3 个不同账号 ID 做验证，证明漏洞存在即可，不要批量导出全部数据。
三、漏洞定级坑：乱拔高漏洞等级，直接降档 / 驳回
新手容易高估漏洞危害，把低危信息泄露直接标记高危，审核人员重新定级，甚至直接忽略。
常见定级踩坑：
- 普通目录泄露、phpinfo、无敏感信息的 git 源码泄露 → 一般低危，不能标高危；
- 普通无敏感操作的 CSRF（仅订阅、增加浏览量），大部分 SRC 判定无效；
- 普通 URL 跳转，无法配合钓鱼、无法携带敏感信息，低危或忽略；
- SSRF 只能访问公网，无法访问内网资源，很多平台不计入高危。
定级思路：提交前对照该 SRC 官方评分标准，按实际危害定级，不要虚高；宁可稍微保守，不要夸大危害。
四、报告撰写坑：证据不全，审核员无法复现（最常见驳回原因）
审核员每天处理大量报告，如果照着你的步骤无法复现漏洞，直接驳回。
- 坑 1：报告过于简略，缺少关键信息
一句话报告示例：网站存在SQL注入，请求包如下。没有分步操作、没有截图、没有证明危害。审核员需要自己摸索，直接忽略。
- 坑 2：截图只截成功结果，缺少完整请求包、原始响应
只放结果截图，没有 Burp 原始请求响应包。漏洞提交，请求包 + 响应包是核心证据，截图是辅助。
比如越权漏洞，必须提供：账号 A 正常查询包、替换 ID 为账号 B 后的请求包、返回 B 用户数据的响应。
- 坑 3：复现步骤逻辑跳跃，省略前置条件
典型：JWT、Cookie 鉴权类漏洞，报告直接放 payload，没写怎么拿到有效 Cookie/JWT；业务漏洞跳过登录步骤，审核员无法复现。
一份合格 SRC 报告必备结构：
小技巧：写完报告，自己清空 Cookie，从头完整复现一遍。如果自己都跑不通，审核员肯定也无法复现。
- 坑 4：AI 一键生成报告，未经人工核对
直接用 AI 生成漏洞报告，复制提交。很多厂商 SRC 公告明确说明：AI 生成报告必须人工验证；纯 AI 生成、没有人工验证证据的报告直接驳回，多次提交会影响账号信誉。
AI 可以辅助写初稿，但请求包、截图、复现过程、危害描述，全部人工核对修改。
五、验证漏洞时的细节坑，导致证据无效
- 坑 1：漏洞依赖临时环境，提交前漏洞已经修复
挖到漏洞之后，拖很久才提交，厂商迭代上线，漏洞已经修复，提交直接标记无法复现。
挖到漏洞立刻保存完整请求包、截图，尽快提交；提交前，再重放一次确认漏洞仍然存在。
- 坑 2：混淆 “理论可行” 和 “实际可利用”
仅 DNSlog 收到请求，没有进一步操作，直接提交命令执行；或者只能在本地环境触发，线上无法利用。大部分 SRC 不收录纯理论漏洞。
一句话判断：攻击者拿到这个漏洞，能不能拿到数据、执行操作。仅仅触发 DNSlog 外带，不算完整可利用漏洞。
- 坑 3：忽略 WAF 临时放行，误判漏洞永久存在
测试时自己 IP 被临时放行，payload 可以执行；换一个 IP 测试直接被 WAF 拦截。提交漏洞之后，审核员使用其他 IP 无法复现。
建议：换 IP、清除缓存，多次验证，确认不依赖 IP 白名单。
六、提交之后：跟进沟通的坑
- 坑 1：提交报告后，不再关注留言
审核员留言补充材料，长时间不回复，报告直接标记忽略。
建议：提交后定期查看 SRC 站内消息，审核人员需要补充证据时，尽快提供。
- 坑 2：和审核人员争执，坚持错误定级
审核员降级或者判定忽略，新手直接和审核争论，坚持自己的定级。
建议：可以礼貌询问驳回原因，学习评分规则；不要硬杠。如果确实有遗漏证据，补充请求包和截图，重新评估。
- 坑 3：提交前在公开社区泄露漏洞细节
在 CSDN、抖音、微信群提前发布漏洞细节，厂商收到报告发现漏洞已经公开，可能直接不予收录。
建议：遵守漏洞披露规则，厂商修复完成后，经过许可，再公开研究文章。
「最后」
如果你真的想学好一门本事，首先就要考虑自己对这门技术的兴趣，没有天赋还能靠时间和努力去弥补，但如果没有兴趣加持，就很难坚持到最后。
你要是正打算尝试网安或者想努力一次，我把这些年用过的视频教程和学习笔记都梳理出来了，现在都无偿分享给大家，需要的找我拿就行（文末自取）。
现在哪个行业都不好走，如果没有学历也没有天赋，那就只有努力和坚持了，请相信相信的力量，共勉！
学习资源
如果你也是零基础想转行网络安全，却苦于没系统学习路径、不懂核心攻防技能？光靠盲目摸索不仅浪费时间，还消磨自己信心。这份 360 智榜样学习中心独家出版《网络攻防知识库》专为转行党量身打造！
01内容涵盖
这份资料专门为零基础转行设计，19 大核心模块从 Linux系统、Python 基础、HTTP协议等地基知识到 Web 渗透、代码审计、CTF 实战层层递进，攻防结合的讲解方式让新手轻松上手，真实实战案例 + 落地脚本直接对标企业岗位需求，帮你快速搭建转行核心技能体系！
这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】
**读者福利 |******[CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享
02 知识库价值
- 深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
- 广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
- 实战性： 知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。
03 谁需要掌握本知识库
- 负责企业整体安全策略与建设的CISO/安全总监
- 从事渗透测试、红队行动的安全研究员/渗透测试工程师
- 负责安全监控、威胁分析、应急响应的蓝队工程师/SOC分析师
- 设计开发安全产品、自动化工具的安全开发工程师
- 对网络攻防技术有浓厚兴趣的高校信息安全专业师生
04部分核心内容展示
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
内容组织紧密结合攻防场景，辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合，是你学习过程中好帮手。
1、网络安全意识
2、Linux操作系统
3、WEB架构基础与HTTP协议
4、Web渗透测试
5、渗透测试案例分享
6、渗透测试实战技巧
7、攻防对战实战
8、CTF之MISC实战讲解
这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】
**读者福利 |**[CSDN大礼包：[《网络安全入门&进阶学习资源包》免费分享 ]
文章来自网上，侵权请联系博主
