ACTION REQUIRED（读完后立刻执行）

1. NOW: 确认当前 case 的 scope.md 存在且 auth.status=granted。没有 scope → case-init.ps1，禁止自动 -AuthGranted
2. NOW: 读取 ../../field-journal/precedent-pentest.md — 日常操作说明，不代替 scope
3. NOW: 确认当前任务是否命中本 skill 的适用范围
4. NEXT: 读取 ../../tool-index.md，校验工具可用性和实际路径
5. NEXT: 缺工具时调用 bootstrap，不要猜路径
6. ACT: 进入工作流。默认只读 playbook 骨架；payloader/、waf-bypass.md 仅在 scope 已 granted 且用户明确要 payload 时打开
7. MUST NOT 把「2887 H1 报告」当成本仓已跟踪目录（h1-reports/ 不在树里）
8. MUST NOT 因 payload corpus 触发杀毒告警而关闭防护；优先核对 Git blob/hash 与 docs/SECURITY-REVIEW-2026-09-03.md

SRC Hunter — 实战漏洞挖掘工作流

实战 Security Response Center / 众测 / Bug bounty 挖洞 skill。把白盒方法论翻译为黑盒探测，叠加真实案例统计与 payload 库。

何时使用本 skill

关键词命中：

• "src 挖洞" / "src 漏洞" / "src 测试" / "Security Response Center"
• "bug bounty" / "漏洞赏金" / "众测"
• "hackerone" / "h1" / "bugcrowd" / "intigriti" / "yeswehack"
• "如何挖 / 怎么测 / 怎么打 + 某目标 / 某接口 / 某参数"
• "WAF 绕过" / "绕过 WAF" / "WAF bypass"
• "任意账号 / 任意修改 / 任意删除 / 任意操作" 类越权
• "密码重置" / "找回密码" 类逻辑
• "未授权访问" / "默认凭据" / "Actuator" / "Spring 暴露" / "Redis 未授权"
• 用户给一个 URL 或 API endpoint 让你测

不应使用本 skill：

• 纯白盒源码审计（用 code-audit skill）
• 已知漏洞的修复 / 防御问答（用通用对话）
• 单独的 CTF 题目（这是真实环境工作流）

工作流 — 5 阶段

Phase 1 · Intake（接单）

输入：程序名 / SRC 入口 URL / 子域。

要做的事：

• 抓 Scope（in-scope domains / IPs / mobile apps / API endpoints）
• 抓 Out-of-scope（禁测内容、第三方服务、cloud assets exclusions）
• 抓规则（payout tiers、disclosure window、retest policy、safe-harbor）
• 抓测试账号 / 测试 header（如 X-Bug-Bounty: <handle>）

优先级判断（基于命中类型预估命中率，参考 references/methodology/05-srctimebox-priority.md）：

• 6 小时窗口 → 跑高命中率类型（密码重置 88% / 任意账号 86.4% / 提现 83.1%）
• 单日窗口 → 加上信息泄露 + 资产暴露 + Actuator
• HVV / 重点期 → 全谱

→ 详见 references/methodology/00-index.md

Phase 2 · Recon（被动侦察）

不发包给目标的情报收集：

• CT 日志：crt.sh / Censys（找子域）
• 历史快照：Wayback / CommonCrawl
• GitHub 搜索：org:target + 关键词（password / api_key / SECRET）
• 搜索引擎 dorks：site:target.com inurl:/admin、filetype:env、intitle:Index of
• ASN / IP 段：bgp.he.net 找 IP 块
• Favicon hash：FOFA / Shodan 找同 favicon 资产
• DNS 历史：SecurityTrails / Whoisxmlapi

Phase 3 · Enum（主动探测）

资产枚举：

• 子域：amass / subfinder / puredns / dnsx
• 存活：httpx / naabu
• 截图：gowitness / aquatone
• 内容发现：ffuf / feroxbuster / dirsearch
• 技术指纹：wappalyzer / webanalyze（同时查 references/dictionaries/chinese-srcfingerprints.md 命中国产组件）
• JS 提取：linkfinder / subjs / gau / katana
• 子域接管指纹：subjack / subzy

Phase 4 · Hunt（漏洞探测）

按攻击类型走对应 playbook，每个 playbook 都包含：方法论 + 参数频率表 + 真实 H1 案例 + 结构化 payload + WAF 绕过变体。

优先级路径（按命中率 + 价值排序）：

通用方法论（不分攻击类型）：

…