用途
该技能为漏洞赏金猎取会话提供完整的认知与操作框架。它把五阶段非线性工作流（侦察 Recon → 测绘 Map → 发现 Discover → 验证 Prove → 报告 Report）与四个思维域（批判性 Critical、多视角 Multi-Perspective、战术 Tactical、战略 Strategic）以及开发者心理逆向技巧结合起来，并依据阶段、目标类型和已用时间，对“测试什么、用哪个工具、如何升级发现”进行路由决策。
主要能力
- 提供会话契约模板，在开始前明确目标、会话目标（机密性/完整性/可用性/账户接管/远程代码执行）、漏洞类别、路线（宽/深）和时间预算。
- 侦察阶段：被动子域枚举、DNS 解析与 HTTP 探测、技术检测、URL 采集（归档与主动爬取）、JS 文件提取隐藏路由与密钥、检查旧 API 版本。
- 测绘与分析：下载 JS 进行静态分析、查找隐藏参数、探测调试/管理面板、识别认证模型。
- 漏洞发现：应用开发者心理逆向，包括兄弟端点、新功能快速上线、复杂流程边界情况；提供决策流（ID 参数→IDOR，URL/webhook→SSRF，价格/数量/优惠券→业务逻辑，文本反射→XSS，登录/2FA/密码重置→认证绕过，模板/维基编辑器→SSTI）；提供 What-If 实验（跳过工作流步骤、批量赋值、HTTP 方法交换、基于错误的注入探测）。
- 验证与升级：按发现类型给出升级决策（XSS→窃取 cookie/token→会话劫持→ATO；IDOR→读取 PII 或写入→链至 ATO；SSRF→云元数据→IAM 密钥→RCE；SQLi→提取密码哈希→INTO OUTFILE 写 webshell）；通过最小化攻击前提评估严重性；证明 IDOR 规模；应用 A→B 信号寻找兄弟漏洞。
- 时间管理：20 分钟轮换规则、45 分钟停止规则，避免兔子洞。
使用方式
在开始任何新的漏洞赏金会话时、切换到新项目或目标时、感到卡住或不确定下一步时、发现影响低想升级时、询问“接下来测什么”或“我处于流程哪一步”时、WAF 或过滤器阻止载荷需要绕过策略时使用。
前置条件：有效的授权漏洞赏金范围（HackerOne、Bugcrowd、Intigriti、Immunefi 或私有项目）；运行并拦截流量的代理工具（Burp Suite 或 Caido）；目标应用上的两个测试账户（攻击者账户 A、受害者账户 B）。无需外部工具——该技能是认知框架。
输入变量：BB_TARGET（必需，目标域名或项目名）、BB_SCOPE（必需，范围内资产）、BB_SESSION_GOAL（必需，机密性/完整性/可用性/ATO/RCE 之一）、BB_VULN_CLASS（必需，本次会话聚焦的 1-2 个漏洞类别）、BB_ROUTE（可选，wide 广度优先或 deep 深度优先，新目标默认 wide）、BB_TIME_LIMIT（可选，会话时间预算分钟，默认 120）。
完成条件：会话目标达成且具备可复现的概念验证；发现已验证（真实攻击条件、确认影响、无假阳性）；在 Burp 或 Caido 中捕获 HTTP 请求/响应对；量化业务影响；计算 CVSS 3.1 分数并与实际演示影响匹配；报告已撰写并提交至项目平台。
适用场景
适用于获得明确授权的漏洞赏金项目。宽路线适合新项目第一天、通配符范围、范围更新；深路线适合已投入超过 3 天的主 Web 应用或发现有趣子域时。
限制
仅可用于有明确授权的项目，未经范围确认绝不测试。宽/深路线不是永久选择，每次会话应根据上次发现重新评估。20 分钟轮换规则防止兔子洞。开发者心理是最高杠杆心态。记录所有“奇怪但不可利用”的行为作为未来链式利用的组件。工具路由按阶段：先被动侦察（无检测），再主动（naabu/katana），最后定向利用。发现一个漏洞后应用 A→B 信号，在同一开发者附近寻找兄弟漏洞 20 分钟。
失败模式包括：找不到子域（尝试 Google Dorks、GitHub 搜索、Shodan、证书透明度日志）；所有端点返回 403（重新测绘认证模型）；WAF 阻止所有载荷（用 wafw00f 识别后应用厂商特定绕过）；所有 ID 为 UUID（寻找 UUID 泄露源）；卡住 45 分钟以上（硬停止，轮换）；10 小时无发现（从漏洞导向切换到功能导向）；仅低影响发现（寻找连接器组件链式利用）。