今天来看一个1W5美刀的报告，链接：https://hackerone.com/reports/911606。
其实这个报告，公开的信息非常有限，从标题只能初步判断是从gayhub上捡到了用户名密码，并且成功登录了。这个洞等于从gayhub上捡了10W。
其实一开始刚学习学挖洞的时候，很多漏洞都是从gayhub上捡的，比如搜索目标+password, 关键词我就不列了，网上也能搜的到，下面说下比较容易捡到洞的文件类型，一种是bash，一种是yml或者config，最后是python（或者你熟悉的那门语言）。这个东西，只有你看的多了，你才能知道问题一般出现在哪。无他，唯手熟尔。
省略过程，假设捡到一个价值10W美刀的洞，那么需要注意什么？①要证明这个资产是厂商，因为很多是IP的 ②要证明员工是厂商的员工 ③最好溯源到具体某个人是谁。因为审核拿到报告，也是同样需要溯源的，如果你报告里面写了溯源过程及结果，会有加分。
三上镇楼，祝你七夕快乐哟~
原文始发于微信公众号（奔跑在Hackerone的路上）：怎么从gayhub上捡10W
