Master Recon in Bug Bounty (2026) 🔥 | Complete Beginner to Pro Guide

• 1

  1. 商業邏輯理解是一切的前提

• 2

  在接觸任何工具之前，必須先弄清楚目標是什麼公司、提供什麼服務。以 Shopify 為例，它是讓商家開店的電商平台，這意味著會有商家帳號、消費者帳號、邀請流程、訂單系統等功能區塊，知道這些才能預判哪裡容易出漏洞。

• 3

  2. 從 Hacktivity 反推測試方向

• 4

  查閱 HackerOne 上該計畫的公開漏洞報告，能快速掌握這個目標歷史上出現過哪些類型的問題（如 GraphQL 問題、IDOR、Reflected XSS、Broken Access Control），讓測試從「廣泛掃射」變成「有根據的定向挖掘」。

• 5

  3. 真正的 Recon 是理解每一個請求，而不只是跑工具

• 6

  大多數初學者以為 Recon 就是跑 subfinder 收子域名，但講者強調：建立帳號後攔截所有請求、理解每個 API 路徑、每個 header 與參數名稱，才是偵查的核心。他曾在密碼重設請求中發現重設連結可被替換，進而製造帳號接管漏洞。

• 7

  4. 工具鏈有明確的順序邏輯

• 8

  子域名收集 → 去重 → 存活探測 → 歷史端點抓取 → 參數過濾 → 目錄爆破，每個工具在鏈條中有其定位，目的是從廣到深逐步聚焦攻擊面，而不是隨機使用工具。

• 9

  --

• 工具名稱與作者：
• `subfinder`（projectdiscovery）
• `assetfinder`（tomnomnom）
• `finddomain`
• `sublist3r`
• `httpx`（projectdiscovery）
• `waybackurls`（tomnomnom）
• `waymore`（xnl-h4ck3r，即 xnl 開頭的 GitHub 帳號）
• `gf` + GF Patterns（tomnomnom）
• `ffuf`（目錄爆破）
• Burp Suite（請求攔截與重放）
• 具體指令：
• 子域名去重：`cat asset.txt finddomain.txt xyz.txt | sort -u > x.txt`
• 歷史端點：`cat subs.txt | waybackurls > urls.txt`
• GF 過濾 XSS 參數：`cat urls.txt | gf xss`
• GF 過濾 Open Redirect：`cat urls.txt | gf redirect`
• Google Dork 技巧：
• `site:shopify.com *` → 列出所有 Google 已索引的子域名
• 可以用 `site:join.collabs.shopify.com` 進一步縮窄範圍
• 平台：
• HackerOne（計畫規則、Scope、Hacktivity 公開報告）
• loreo.shop（講者自己的課程平台，含 AI 問答、社群、1-on-1 教學）
• 真實案例關鍵數據：
• 案例類型：密碼重設流程中的 Host Header / 連結注入 → 帳號接管（Account Takeover）
• 方法：將重設信中的連結參數替換為攻擊者控制的域名，受害者點擊後 token 被截走
• 多帳號測試策略：
• 需建立所有帳號類型（個人帳號、企業帳號、低權限帳號）
• 以低權限帳號攔截高權限操作的請求，測試 Broken Access Control
• --

“Bug Bounty 的核心競爭力在於比別人更深入理解目標應用的商業邏輯與請求結構，工具鏈只是把這份理解系統化、規模化的手段。”