漏洞盒子登陆 / 漏洞盒子是做什么的？

漏洞盒子登陆 / 漏洞盒子是做什么的

前言

很多刚入门 Web安全、想要学习漏洞挖掘的新手，经常会听到漏洞盒子这个平台。不少同学好奇漏洞盒子到底是干什么的，怎么登录注册，普通人能不能在上面挖洞、提交漏洞。本篇文章从零讲解漏洞盒子，适合零基础网络安全爱好者阅读。

据了解，中国如今严刑惩治个人数据买卖，根据 2017 年 6 月 1 日生效的《网络安全法》，买卖个人数据 50 条即可入刑。而国家网络安全法也有规定，对于大规模的严重的信息泄露，相应的公司是需要负法律责任的。

据每日经济新闻报道，北京盈科（杭州）律师事务所律师方超强向记者表示，该事件需要从两方面来考虑，首先对于华住集团来说信息泄露存在不同的情况，需要根据泄露原因判别酒店是否应承担相应责任；其次从消费者维权的角度来看在是否受害的举证上尚有一定困难，而在追责过程中谁承担责任也需要分而论之。

方超强解释称：
如果出现离职员工泄露数据或者在职员工内外合作的情况，则属于酒店内部管理存在漏洞，需要承担相应责任。
另一种情况，当遇到酒店的信息管理系统出现漏洞被黑客入侵时，如果认定企业没有给予与其规模相匹配的保护则需要承担相应责任，反之企业也是受害方。“像华住这样拥有庞大体量个人信息的集团企业应该配备最高级别的安全防护等级。”

华住并非首次被卷入疑似信息泄露事件
其实，翻看华住的记录，泄露客户信息不止一次两次了：
2013 年 10 月 10 日，曾经的国内安全漏洞监测平台 “乌云” 发布报告称，汉庭（华住前身）客户开房记录因被第三方存储和系统漏洞而泄露，信息完整记录了入住酒店旅客的身份证、入住时间、入住的房间号码等隐私信息。
2015 年，漏洞盒子平台安全报告，桔子酒店（后被华住收购）存在严重安全漏洞，房客姓名、电话等开房信息一览无余，还可对酒店订单进行修改和取消。

这次又曝出华住 1.3 亿人信息被泄露，还能说什么呢？
都说事不过三，华住这硬生生是凑够了 3 次。
现在，注册个邮箱都知道不能用简单密码，华住数据库的密码竟然还是明文存储！
这不禁让人怀疑，华住对客户信息是不是像他们在网站中所声称的 “尊重会员个人隐私是华住酒店集团的一项基本政策”。

从华住的官微来看，倒是随处可见的营销宣传：
关注官微，转发，抽房券。

这样来看，也许吸引消费者，远比保护客户隐私看得更重。

信息时代，用户隐私安全始终是个问题。
2015 年，美国第二大移动通信运营商美国电话电报公司海外呼叫中心，雇员向第三方非法倒卖用户姓名、社会安全号等，近 28 万名用户受影响，被美国联邦通信委员会处以 2500 万美元罚款。
2018 年欧盟出台新规，企业要严控用户信息泄露，违者最高罚 2000 万欧元。
当年，美国著名的社交媒体因为 “泄密门”，扎克伯格因此到国会接受长达上 10 个小时的问讯，并将面临巨额罚款，罚款也许将高达 10 亿美元。

但在国内目前个人信息泄露维权却并不顺利。
上面说的上海王金龙的起诉，法院认为 “被泄露的信息，其扩散渠道不具有单一性和唯一性”，也就是说，王先生的个人信息可能是通过其他途径泄露出去的，因此，没有支持他的诉讼请求，汉庭无罪。
2014 年，天津市民刘女士通过一个电商平台购买飞机票后，接到诈骗短信，起诉电商平台和航空公司，法院也没有支持刘女士的请求，因为刘女士 “没能提供证据证明两名被告泄露了其个人信息，且两名被告并不是掌握其个人信息的唯一介体。”

这似乎是一个悖论。
但其实，弱小、缺乏专业技术的个人，面对强势的平台、公司，难道不应该 “举证责任倒置” 吗？
公司、平台应该证明自己通过种种手段，严密保护了客户个人信息。
否则，不论是几年前泄露的 2000 万条开房信息也罢，还是平时不时出现的泄密事件，结果强势一方啥事没有，它们把心思放在赚钱上，当然不会认认真真地保护客户隐私了。

事件曝光后，华住的股票下跌 4.36%。

最后，有一件事，如果是华住会员，请大家务必去干这样一件事：立马改掉自己重要账户的密码，比如，支付宝、淘宝、QQ、网银、网盘…… 只要是你认为重要账号的密码，请尽快修改。
因为，有个词叫 “撞库”：就是黑客获得这批数据后，可以拿其中的用户名、密码，去批量尝试登陆支付宝、淘宝、QQ、网银、网盘等等黑客感兴趣的网站，如果你当初注册两个网站的用户名、密码相同，就会中招。
所以，大家务必赶紧去改密码。

大家还要记住 3 点：

1. 安全性和便捷性常常不可兼得，注册时不要为图省事，密码要尽可能各不相同。
2. 一个好的密码，包括三点：8 位及以上，使用 3 种以上字符（字母、数字、特殊符号），没有明显规律。
3. 形成自己密码命名的准则。打个比方，京东密码 “J1004！.d”，“京东” 首字母大小写放在首尾，而中间数字是 jd 在字母表中的位置，即第 10 个字母，和第 4 个字母，再插入 2 个你的个性化字符。按这个规则，百度密码就是 B0204！.d。

---

泄露的信息可能造成哪些危害？

基于目前透露的信息，主要产生危害的为入住人姓名、身份证号码及入住时间，主要危害如下：
第一类：信息与电话骚扰
因该数据的泄露未直接批露出手机、电话信息，不法分子需通过其他途径获得电话信息，该危害目前尚小。

第二类：情感威胁
如同一名住客 A 与不同的异性 B、C、D 的开房记录，会引发 A 的家庭纠纷。
不法分子可能会通过其他途径，通过身份信息匹配找到住客 A 的电话、单位、家庭地址等其他个人信息。

第三类：冒领快递
知道了你的姓名与身份证号，伪造个人身份证，可以到邮局冒领你的邮政快递，类似案例已有发生。

第四类：冒办电话
同第三类一样，通过伪造个人身份证，到电信有关单位冒用你的身份办理电话、移动电话卡，如从事违法犯罪活动或对你的生活或工作造成一些影响，另外冒用身份产生的恶意话费及其他误会，也会耽误你需要提供证据，作一些解释性工作；类似案例已有发生。

第五类：银行开户、证券等
同第三、四类一样，通过伪造个人身份证办理，但是现在二代身份证核验机制完善，一般金融机关都配备了验证机。如果冒开户和办理业务，一旦成功，可能都会影响到你的信用记录。

第六类：登记变更
同样，通过伪造信息，冒用身份办理比如房产证、车辆过户、遗嘱赠予，都会带来非常繁琐的维权麻烦，耗费大量时间、精力去举证澄清。

---

一、漏洞盒子是什么？

漏洞盒子是国内知名的安全众测平台（SRC 平台），隶属于斗象科技，也是 FreeBuf 的兄弟产品。简单一句话理解：搭建企业和白帽子之间的桥梁，企业放出授权资产，白帽子在许可范围内挖掘安全漏洞，提交漏洞可获得赏金或者积分奖励。

白帽子：指遵守法律、获得企业授权，帮助企业寻找安全漏洞的安全从业者 / 爱好者。

平台两边角色

1. 企业方
   企业在平台发布众测项目，划定允许测试的网站、APP、小程序资产范围。委托白帽子提前发现自身系统的安全漏洞，在被黑产利用之前完成修复，避免用户数据泄露。
   当年桔子酒店（华住旗下）的订单漏洞，就是安全研究员在漏洞盒子平台上报的，漏洞可以直接查看房客姓名、手机号，甚至修改、取消酒店订单。
2. 白帽子（安全学习者）
   在平台规则和授权范围内，对指定资产做安全测试，发现漏洞之后提交完整漏洞报告。平台和厂商核验漏洞真实性，按照漏洞严重等级发放现金赏金或者平台积分。新手可以在这里练手，积累真实漏洞挖掘经验，学习写漏洞报告。

平台支持挖掘的漏洞类型

• Web 类：SQL 注入、XSS 跨站、文件上传、目录遍历、信息泄露
• 业务逻辑漏洞：越权访问、验证码逻辑缺陷、订单篡改
• APP、小程序、API 接口类漏洞

二、漏洞盒子登陆与注册教程

官网地址：https://www.vulbox.com/

注意：认准官方域名，不要访问仿站钓鱼网站。

1、账号注册

1. 打开官网，右上角点击【注册】
2. 选择身份：我是白帽（想要挖洞学习就选这个；企业提交资产选厂商）
3. 填写手机号、邮箱，设置密码，完成短信验证
4. 实名认证：众测平台强制实名，这是合规要求，区分合法白帽子和恶意攻击者，不实名无法提交漏洞。

小提示：拥有 FreeBuf 账号可以直接登录漏洞盒子，登录后需要邮箱激活。

2、登录平台

1. 进入官网点击右上角登录，输入账号密码登录；
2. 登录成功进入白帽子后台首页；
3. 首页展示可参与的众测项目，包含商业众测项目、公益 SRC 项目。新手优先选择【新手专区 / 公益项目】，门槛更低，适合练手。

3、登录后后台核心板块

• 项目广场：查看当前开放的测试项目，阅读项目范围、禁止行为、奖励规则
• 我的漏洞：查看自己提交漏洞的状态：待审阅、待确认、已确认、忽略
• 个人中心：修改资料、查看赏金、积分、实名认证信息

三、白帽子完整挖洞提交流程

1. 阅读项目规则（最重要！）
   进入项目，仔细阅读允许测试域名 / IP、禁止操作、禁止扫描时段。部分项目禁止 AWVS、Burp 大流量扫描，一旦违规会取消资格，封禁账号。超出项目规定资产的任何测试，都属于非法渗透。
2. 信息收集与漏洞探测
   在授权资产内做信息收集：子域名收集、目录扫描、接口探测。新手优先寻找逻辑漏洞、信息泄露这类比较容易发现的漏洞。
3. 漏洞复现，留存证据
   找到疑似漏洞，稳定复现漏洞，截图、录屏保存证据。报告需要写清楚漏洞地址、Payload、影响范围。证据不全，审核人员无法复现，漏洞直接驳回。
4. 提交漏洞报告
   使用平台模板填写：漏洞标题、漏洞简介、危害等级、复现步骤、修复建议。提交之后进入待审阅状态。
5. 等待厂商 & 平台审核
   审核人员验证漏洞真实有效，确认漏洞等级，发放赏金；如果重复提交、误报，会标记忽略。对评级有异议，可以在有效期内发起申诉。

四、重要法律红线（新手必看）

1. 只允许测试平台项目内划定的资产，私自扫描、渗透任何没有授权的网站，属于违法行为，触犯《网络安全法》。
2. 即使发现漏洞，禁止下载、导出、保存用户隐私数据，哪怕只是临时看到，也不能截图外传、保存。
3. 绝对不能利用漏洞篡改数据、删除数据、盗取信息，白帽子只负责发现漏洞、提交报告。
4. 禁止把漏洞信息对外公开，需要遵守项目保密协议。

一句话记住：无授权不渗透，挖到漏洞不碰数据。

五、新手学习建议

1. 学习顺序：靶场练习漏洞原理 → 练习编写漏洞报告 → 再去漏洞盒子公益项目实战，不要直接上手真实站点。
2. 刚开始不要追求高危漏洞，优先练习信息泄露、低危逻辑漏洞，熟悉平台审核规则。
3. 提交报告一定要规范，复现步骤写清楚，截图完整，能极大提高漏洞通过率。

六、总结

漏洞盒子是国内正规的安全众测平台，给安全爱好者提供了一个合法挖掘漏洞、学习实战的渠道，同时帮助企业提前发现安全隐患，保护用户数据安全。

登录注册门槛不高，但是法律门槛很高。网络安全不是学黑客入侵，白帽子的核心使命是帮助企业修补漏洞，保护用户隐私。在平台练手的同时，一定要守住安全底线，遵守平台规则和国家法律法规。

免责声明：本文仅做网络安全知识科普，所有安全测试必须获得目标授权，禁止任何未授权的扫描与渗透行为，违法后果自行承担。

---

最后

网络安全需要学习那些知识

网络安全零基础入门学习路线&规划

初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。

网络安全工程师企业级学习路线

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些我自己买的、其他平台白嫖不到的视频教程：

要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】