SRC威胁情报挖掘实战指南

一、威胁情报概述

1.1 定义与范围

威胁情报在SRC（安全应急响应中心）语境下特指会被认定为有价值并给予赏金的漏洞情报，主要包括：

• 订单信息泄漏（高风险高回报领域）
• 刷单行为（真实交易链条分析）
• 视频刷量
• 账号实名制解除/更换/代实名认证
• 企业资质认证等特权账号认证

1.2 情报处理流程特点

• 大型企业通常设有专门情报处理团队或交由风控部门
• 审核周期比常规漏洞长数倍（需业务方确认）
• 确认后评级往往可达高危/严重级别

二、SRC关注的情报类型

2.1 厂商业务侧重点

• 电商平台：订单泄漏问题（核心关注）
• 游戏/IM厂商：外挂、账号、私服、装备等
• 优先级排序：资损问题 > 法律问题 > 舆论压力

2.2 情报价值评估标准

• 业务部门能否处理该威胁
• 白帽子能否提出解决方案
• 厂商内部处理能力（部分厂商对某些问题可能选择"暂时可接受"）

三、威胁情报挖掘方法论

3.1 订单泄漏类情报

3.1.1 Telegram渠道

• 中文搜索引擎：搜索"母婴"、"护肤"、"医美"等关键词
• 可信度判断：
  • 群主可靠性（开放交流群 > 全员禁言群）
  • 组织规模：多套CMS网站 > 单网站 > 机器人客服 > 个人
  • 数据源专一性（专注某公司某业务）

3.1.2 加密聊天APP

• 主要平台：Potato、蝙蝠、密聊
• 操作建议：多加入交流群建立可信身份

3.1.3 数据来源分析（判断一手料）

1. 客服内鬼（店主雇佣或大卖家直接安排）
2. 木马钓鱼（PDF.exe等）
3. 快递侧员工泄露
4. 代运营公司插件漏洞/内鬼
5. 油猴脚本后门

3.2 刷单刷量类情报

3.2.1 自动化刷量

• 发现渠道：TG群组
• 典型模式：
  • 发布AutoJS等自动化脚本
  • 提供使用教程对接卖量系统（如95社区）
  • 临时小群发布刷单信息后快速解散

3.2.2 电商小游戏刷量（如农场、果园）

• GitHub搜索关键词："青龙"
• 扩展技巧：
  • 通过fork/star/follow追踪相关项目
  • 关键字筛选扩充新项目代码

3.3 游戏类情报

• 黄金时间：游戏开服前半个月
• 特点：
  • 产业链长且分层明显
  • 工作室定制外挂普遍
• 建议：紧盯游戏开服信息窗口期

3.4 小说类情报

• 盗版产业链模式：
  • 对接盗版源+套壳APP
  • 快速上架应用商店
  • 主要盈利：广告SDK（点击率、观看时长、转化率）
• 发现渠道：
  • TG开源小说群组
  • GitHub/Gitee盗版源集合
  • 科技论坛分享

四、高级渗透技巧

4.1 建立长期渗透身份

• 培养可信的机房主/灰产从业者身份
• 避免"买完就跑"，建立社交关系
• 目标：进入内部交流圈子

4.2 情报部门应对策略

• 报告撰写要求：
  • 详细落地信息（人员、社工数据、真实照片）
  • 可执行的处理建议
• 渗透深度：触及企业常规监控之外的深层渠道

五、主流SRC平台特点

1. 阿里SRC

   • 专业情报处理团队
   • 举办过专项活动
   • 处理流程规范

2. 某D平台

   • 风控团队处理情报
   • 响应速度较慢

3. 腾讯SRC

   • 专业反外挂团队
   • 对外挂情报质量要求高
   • 明确标准：有效外挂情报=高危

六、实战注意事项

1. 时间管理

   • 情报处理周期可能长达数周
   • 游戏类情报需把握开服窗口期

2. 风险控制

   • 避免直接参与非法交易
   • 注意身份隔离和保护

3. 报告技巧

   • 提供可验证的样本数据
   • 附带影响范围评估
   • 建议解决方案

4. 心理准备

   • 接受部分情报可能被厂商"暂时搁置"
   • 持续跟踪已提交情报的状态

本指南基于实际SRC威胁情报挖掘经验总结，所有技术方法仅限合法授权测试使用。实际操作中请严格遵守法律法规和道德准则。