GitHub 漏洞赏金如何磨炼研究员 @r31n 的安全技能

GitHub Blog· Shilpa Kumari·2026-10-23 01:21· 1 小时前AI 评分36

漏洞赏金如何磨砺一位研究者的安全技能

AI 导读

GitHub Bug Bounty 团队在网络安全意识月专访研究员 @r31n，其专注 GitHub Enterprise Server 并多次发现高影响问题。@r31n 表示偏好手工调查与小型专用脚本，认为 AI 对其工作方式的影响超过任何单一安全工具，但心态比工具更重要。持续产出可复现、带可用 PoC 报告的研究者可获邀进入永久 VIP 计划，享受更高奖金、更快响应和测试版产品预览。

正文 · 原文

随着网络安全意识月持续推进，GitHub Bug Bounty 团队很高兴聚焦 GitHub Security Bug Bounty Program 中另一位表现顶尖的安全研究员： @r31n！

作为全球开发者的家园，GitHub 致力于保障数百万项目背后代码的安全与可靠，而我们的 Bug Bounty Program 始终是这一承诺的基石。与外部研究员的合作是提升安全性的最有效方式之一，每年社区都会帮助我们识别并修复漏洞，让平台对所有人更安全。

安全研究格局正在迅速变化。AI 降低了入门门槛，并成为真正的力量倍增器。我们在自己的内部安全项目中广泛使用它，也欢迎同样这么做的研究员。然而，区分优秀研究的标准并未改变：验证、可用的概念验证，以及对真实安全影响的清晰展示。工具并不重要，工作的质量才重要。本月我们聚焦的研究员正是通过经过验证、可复现、并证明安全边界已被跨越而非仅仅理论存在的发现，完美诠释了这一标准。

持续达到这一水平的研究员可获得邀请加入我们的永久 VIP 计划，该计划提供更高的奖金、更快的响应时间，以及测试版产品和功能的早期预览。在我们的公开赏金网站上了解更多关于如何获得资格的信息。

在网络安全意识月庆祝活动接近尾声之际，我们采访了 @r31n，这位研究员以其在 GitHub Enterprise Server 上的工作而闻名，多次发现高影响问题。他们的报告始终包含可用的概念验证和清晰的复现步骤，帮助我们的工程团队更快地从分类推进到修复。

你是如何开始从事安全和漏洞赏金的，又是什么让你一直回到 GitHub 的项目？

我进入漏洞赏金领域，是因为我想找到一种在日常工作环境之外持续提升安全技能的方式。它让我接触到不同的产品、技术和架构，这些是我平时可能不会遇到的。GitHub 是我一直回来的项目之一，因为它的攻击面实在太大了。它庞大、复杂，而且不断变化。新功能不断发布，所以它从来不像一个已完成的目标。他们也与研究员紧密合作，赏金结构具有竞争力，周边礼品也是不错的额外收获。这 simply 是一个我喜欢投入时间的项目。

你最喜欢研究哪类漏洞，为什么？

我其实没有特别偏爱某一类漏洞。更让我感兴趣的是漏洞利用链，尤其是那些单独看起来相对无害的几样东西凑在一起、却能造成严重得多后果的情况。开放重定向就是一个简单的例子。单看它本身，影响可能有限。但如果你找到一个会跟随重定向、且域名在白名单内的 SSRF，那么这个开放重定向突然就能成为一条大得多的利用链中有用的一环。这大概就是漏洞研究里我最享受的部分：发现这些关联，看着两三个彼此独立的漏洞，意识到它们能以某种并非设计意图的方式被组合起来。这需要一些技术知识，但也需要相当多的创造力。

你如何保持技能敏锐，并跟上新的漏洞趋势？

其实是多种方式的结合。安全博客、漏洞分析文章、会议演讲、概念验证、研究论文、课程。哪里有有用的内容被分享，我就尽量从哪里学习。但大部分内容只有在我亲自尝试之后才真正记得住。我可以读一篇漏洞分析，但自己动手走一遍会让我理解深得多。如果我真正复现了那个技术、把玩它、弄坏它，并弄清楚它为什么会这样表现，那它才会真正留在我脑子里。之后，当我在真实目标上看到类似的模式时，就更容易识别出来。

哪些工具或工作流对你的研究是颠覆性的？有没有什么不太为人所知的工具推荐？

我倾向于手动调查和小型、专门用途的脚本，而不是大型自动化工具链。如果我在研究中发现自己重复做同一件事，我通常会把这特定部分自动化。AI 对我工作方式的影响，可能比任何单个安全工具都大。

即便如此，我认为心态比工具更重要。你可以在某个特定工具上变得极其熟练，却仍然错过有趣的漏洞，因为你只是通过那个工具给你的视角去看目标。有时候过度依赖工具实际上会窄化你的思维方式。工具会变。技术会变。好奇心和坚持往往更经得起时间考验。所以，我并没有一个会推荐给所有人的工具。最有用的工具，通常是能帮助回答我当下正在调查的那个具体问题的工具。

请带我们走一遍你的一般方法。你如何选择目标领域，又如何从“有趣的功能”走到确认的发现？

我通常先梳理应用的整体结构，感受它的各个部分是如何组合在一起的。我倾向于在复杂功能、集成、信任边界，以及任何行为与其他部分略有不同的地方花更多时间。经验和直觉也很重要。有些区域看起来就是更可能暴露出有趣的安全行为。在此基础上，我常常从 source 和 sink 的角度思考，而不是从某个特定的漏洞类别入手。source 是攻击者可控数据进入应用的一个点。

设想一个请求参数、上传的文件、API 输入，或来自另一个服务的数据。sink 可以是消费这些数据的安全敏感操作，例如网络请求、文件访问、进程执行、数据库查询或授权决策。有趣的部分在于追踪两者之间的路径。我会观察数据如何被转换、验证或跨越信任边界传递，以及这些控制措施在数据到达 sink 之前是否足够。

我喜欢这种方法，因为它让我能够推理攻击路径，而不必把调查强行套入预定义的漏洞类别。有时，只有当你理解了某个特定 source 如何影响安全敏感操作时，漏洞才会变得显而易见。一旦我理解了攻击路径、能够产出可用的 PoC，并能解释影响，我就会认为一个发现得到了确认。

你在研究中会使用 AI 吗？它在哪些地方真正有帮助，又在哪些地方存在不足？

是的。实际上用得相当多，但主要是作为加速器。我用它来浏览不熟悉的代码、查找调用点、在代码库中追踪数据，以及理解系统的结构及其组件如何交互。在我识别出漏洞之后，我也发现它对编写 PoC 脚本很有帮助。

它效果最好的时候，是问题足够具体的时候。“这个应用有漏洞吗？”通常不是一个很有用的提示。给它正确的上下文，解释你已经知道什么，并提出一个范围狭窄的问题，质量就会大幅提升。这里有点悖论。你对问题理解得越透彻，AI 就越有用。而且我从不会把它的结论当作事实。幻觉、误报、错误假设和自信的错误答案都很常见。一切仍然应该手动验证。AI 让我的工作更快。然而，它并不能替代对应用的理解、直觉的培养，或证明某件事确实可行。

对于在漏洞赏金中负责任地使用 AI，你有什么建议？

用它来改进你的研究，而不是把研究的责任外包出去。如果 AI 告诉你它发现了一个漏洞，那并不意味着你发现了一个真实漏洞。你仍然需要自己复现它。你应该确切理解发生了什么、哪个安全边界或控制被违反了，以及真实影响是什么。理想情况下，你应该对问题理解得足够透彻，以至于完全不用 AI 也能写出报告。构建清晰的 PoC。确保安全团队能够跟进。知道每一步为什么重要。

AI 降低了从事安全研究的门槛，这在很多方面都很好。但你现在也能从团队不得不处理的大量未经验证的报告里看到负面影响。AI 应该让研究变得更好。而不只是制造更多报告。

随着行业推出越来越多 AI 驱动的功能，测试它们是否需要与传统 Web 漏洞不同的思维方式？

是的。传统漏洞仍然重要，但攻击者也可能通过模型接收的数据、指令或上下文来影响概率性决策组件。但让模型说出或做出意料之外的事情，未必是有趣的部分。更重要的问题是，这种影响能让攻击者达成什么。他们能否访问本不该访问的东西，或让系统以攻击者并不具备的权限行事？这就是为什么我认为模型层面的护栏绝不应被视为唯一或主要的安全边界。你仍然需要在模型周围设置确定性控制。这包括恰当的授权、最小权限访问、隔离和验证。周边系统与模型本身同样重要。而且传统应用安全并不会因为涉及 AI 就消失。模型输出仍应被视为不可信输入。如果该输出在没有正确控制的情况下进入浏览器、数据库查询、shell 命令、Web 请求或其他下游系统，你仍然可能遇到非常熟悉的漏洞：XSS、SQL 注入、命令注入、SSRF 等等。我认为模型是新的。许多危险的汇聚点并不是。

你刚开始时最希望自己知道的一件事是什么？

学习系统，而不是清单。刚开始时，我总想收集大量技术、载荷、工具和绕过方法的清单，然后逐一尝试。这些清单可能有用。

我现在仍在使用它们。但理解系统如何运作要有价值得多。它的内部逻辑。数据流。信任关系。假设。为什么一个组件被允许与另一个组件通信。为什么某个限制最初会存在。我还学会了不要因为某样东西看起来安全，或因为许多研究人员已经测试过它，就假定它是安全的。

许多有趣的研究始于：“为什么它会这样运作？”而不是“我接下来该试哪个载荷？”其中也有一些运气成分。有时你花几天追踪某样东西，却完全毫无进展。然后你几乎偶然地注意到一个微小细节，它就变成了高影响力的发现。那部分你无法控制。你能控制的是，是否持续质疑事物足够久，从而注意到它。

对于试图提交第一份有效报告的研究人员，你会推荐什么建议或资源？

先熟悉基础知识，然后选择一个项目和一个目标，并坚持一段时间。不断在目标之间跳来跳去，很难对其中任何一个建立真正的心智模型。使用该应用。探索奇怪的流程。测试不同角色和权限级别。阅读文档。观察请求和响应。查看 API。实验、课程、公开的 write-up、已披露的漏洞赏金报告以及故意存在漏洞的应用也都很有用。它们会教你漏洞通常藏在哪里，并随着时间推移，帮助建立直觉，以便在其他地方识别类似情况。

我经常看到的一个错误是过早依赖工具。另一个是因为显而易见的测试没有发现任何问题就放弃。工具是有帮助的。但它们不会为你建立思维模型。而当你最终确实发现了什么时，要花额外的时间妥善验证它。创建一个可用的 PoC。让安全团队容易复现。深入理解一个目标，通常比试图尽快找到一个漏洞更能让你走得更远。

不搞黑客技术的时候，你喜欢做什么？

耐力运动，主要是公路自行车，尤其是在山区。我享受长距离爬坡的身体挑战，以及在更长距离上推动自己。这也是暂时远离屏幕、到户外待一段时间的好方法。其实爬坡的某些感觉和漏洞研究相当相似。你可以付出很多努力却看不到多少进展。有时你根本不知道自己在做的事情会不会有结果。你只能继续前进。而每隔一段时间，它就会有回报。

有什么社交媒体账号想和我们的读者分享吗？

你可以在 HackerOne 上找到我。

感谢 @r31n 参与 GitHub 的漏洞赏金研究员聚焦！每一次向我们漏洞赏金计划提交的报告，都是让 GitHub、我们的产品和我们的客户更安全的机会，我们继续欢迎并感谢与安全研究社区的合作。所以，如果这激励了你去寻找漏洞，欢迎通过 HackerOne 报告你的发现。

文章 漏洞赏金如何磨砺一位研究员的安全技能 首次发表于 The GitHub Blog。

来源：GitHub Blog · github.blog