Efficient Bug Bounty Automation Techniques, Gunnar Andrews | Bug Bounty Village, DEF CON 32

Gunnar Andrews 在這次演講中分享了他多年來積累的漏洞賞金自動化核心哲學與實踐方法。整個框架的出發點是：用最低成本和最少資源獲得最大的發現效率，而非盲目追求掃描規模。

他開篇就表明立場——不做任何必要前的暴力破解。日監控數百萬個域名和海量端點，全部透過被動手段發現。這個策略的邏輯是：暴力破解本質是猜測，而現代網際網路提供了足夠多的其他技術手段，只有真的"沒招了"才退而求其次。這樣既能維持低成本，又不會因大規模掃描而觸發 ISP 或雲廠商的封禁。

資訊收集層：多源被動偵察

SSL 證書是發現資產的金礦。講者開發了 Caduceus 工具對整個 IPv4 地址空間進行證書掃描，從證書的 CN 和 SAN 欄位提取域名，同時儲存對應 IP。這樣既能獲得子域名，還保留了 IP-域名的關聯。對於想要最新發現的資產，Gungnir 實時爬取 CT 日誌（Merkle 樹結構的公開證書日誌），能在新證書頒發後 20 秒內捕獲；相比之下，cert.sh 雖然功能強大且可歷史查詢，但某些 CT 日誌在其資料庫中可能延遲 48 小時。講者還透過反向 DNS 查詢（PTR 記錄）來發現與特定 IP 關聯的域名——用 ZDNS 等工具遍歷整個 IPv4 空間。這些技術合起來能從被動 DNS 資料庫（VirusTotal、SecurityTrails、Wayback Archive 等）中獲得大量已記錄的資產。

但講者強調了一個常見的坑：不要無腦使用所有資料來源。他以 Subfinder 為例，用 --all 標誌跑 tesla.com，結果執行 43 秒卻因為 Common Crawl 出錯返回負數條結果。去掉問題源後，僅需 10 秒就能獲得相同結果。這意味著要麼自己寫查詢邏輯（完全理解每個資料來源的行為），要麼至少要審計工具的輸出和效能。

DNS 解析與快取：自建叢集的必要性

這是講者強調最多的一個環節。公開的 DNS 解析器（如 Trickest 列表中的服務）雖然便捷，但存在速率限制、超時和隱藏的行為差異。他在安全諮詢工作中發現過多個 DNS 接管漏洞，這些漏洞在所有公開解析器上顯示為"無錯誤"，但在特定的遞迴解析器上卻返回 SERVFAIL——恰好是他能接管的情況。這說明邊緣節點的公開解析器在追求速度和規模時可能做了不適合 bug bounty 獵人的折衷。

講者的解決方案是用 PowerDNS（三個元件：Authoritative Server、Recursor、DNS DIST）構建自有 DNS 解析叢集。Recursor 是遞迴解析器，DNS DIST 是負載均衡，兩者透過 Keepalived 等工具實現虛擬 IP，讓整個叢集對外呈現統一端點。月成本約 $25，卻能處理每秒 12.5 萬查詢，完全無速率限制，所有引數都由自己控制。關鍵改進是用 Redis 維護一個域名快取和重試佇列，記錄每個域名的最後解析時間和重試次數。單次解析嘗試會漏掉大量資產（某些服務短時間不可用），持續 5 天或更長的重試佇列才能捕獲這些恢復的服務。

埠與網路指紋識別：被動優先

講者拒絕直接的全量主動埠掃描。他用 S-Map 工具針對 Shodan 進行被動查詢（Shodan 已包含大量已知開放埠的資料），然後只對這些結果進行主動驗證。這樣既能發現埠，又避免了向無關 IP 發起數百萬個 SYN 包而遭到反爆。至今未被封禁正是這個策略的證明。

對於網路端點和資源發現，一個 GET 請求就能獲取豐富資訊：二階資源（JavaScript、S3 桶等）、HTTP 狀態碼、CSP 頭、Cookie 等。講者透過爬取發現的頁面來擴充套件資產列表，但避免過度掃描以防觸發 WAF。為了高速掃描又不被封禁，他建議利用 AWS Lambda——每個 Lambda 例項都帶新 IP，分散掃描任務能有效規避 IP 級別的速率限制和封禁。

資料工程：從資料到漏洞的橋樑

講者最後強調的是資料組織的重要性。許多獵人只維護子域名列表，結果喪失了大量關聯資訊。正確的做法是同時維護子域名和 IP 地址，並在兩者之間交叉引用。這涉及資料庫設計而非平文字檔案——後者在資料量增長後會變得難以管理。講者推薦了相關資料工程書籍（Audible 有音訊版），雖然枯燥但價值巨大。核心觀點是：海量資料 = 更多漏洞，但前提是正確利用。