从庆尘到庆佬：我在Day1安全团队的成长之旅

先简单介绍一下，我目前是软件工程专业的大三在读学生，也就是我的专业完全跟安全领域无关，但我对传统的软件开发也不是特别热衷。所以在大一的时候，我花费半年时间自学爬虫、前端开发和算法，也就是都想尝试一下，看哪个感兴趣。印象最深的就是大一的寒假，我在家跟着书上的代码敲，自学数据结构，也就是那时在CSDN写下了我的第一篇博客，给自己取了一个网名——“Demo不是emo”，从此开启了我的博客之旅。

那时候看到自己写的文章被别人点赞，收藏，就会非常有成就感，隔一段时间就看一下CSDN，看我的文章是不是被人点赞了，粉丝是不是又涨了，或者有没有人提问之类的（当时小白嘛，大家理解一下哈哈），对我来说确实是一段很难忘的经历

后来大一下的时候，在抖音看到了那些“黑客”带个帽子和面具直播讲网络安全。就觉得也挺有意思（哪个男生没有一个黑客梦哈哈），开始在网上找各种资源，星球，开始自己学Web渗透，也就是基础的外部打点，内网渗透那些，尝试自己挖一些公益和CNVD，在大一的暑假就挖到了人生中第一个CNVD漏洞，虽然只是一个事件型，没证书的那种，但当时也把我激动了好几天

到大二上的时候，基本就系统的学完一遍Web渗透了，开始巩固和提高Web渗透知识，打各种靶场，比如vulhub上的漏洞复现，打vulnhub上的靶机等等，，也就是我的整个大二都在巩固和提高我的Web安全知识。在CSDN写下了一篇又一篇博客，也是想着记录一下学习历程，没想到后面粉丝越来越多了。

从最开始的小白，到现在的两万多粉丝，一路走来很感谢各位师傅们的支持

但大多数学Web的师傅们，应该也能感觉到Web渗透的实战经验是很重要的，一直打靶机自己都会感觉没意思，但真实环境又没得打，所以在大二放暑假前，不知怎么的就对SRC挖掘产生了浓厚的兴趣，但我当时是比较怕的，一想到挖洞就觉得是特别高大上的东西，不是自己有资格接触的，毕竟当时我逻辑漏洞都只是听说过，甚至逻辑漏洞的靶场都没玩过，看那些SRC上的名字就觉得肯定是特别厉害的师傅，简单来说就是一个字——害怕

期间也尝试自己去挖过漏洞，但当时这方面能力确实太差了，举两个简单的例子

灯塔师傅们都用过吧，我当时灯塔扫出来一个文件泄露我就交一个，package.json，Spring的health，apple-app-site-association之类的垃圾我都交，只要我打得开我就交，不管里面的数据有没有危害，交了二十几个，最后还是报告写累了才收手（还好收手了），后面也是不出意外的全部忽略了
当时挖洞的时候看到一个src的低危里面，说页面“无有效验证码”漏洞也收，后面我挖那个src，只要登录页面没有验证码我都交，比如打开一个页面，只有用户名和密码的输入框，我就提“xxx平台存在无有效验证码漏洞”，最后也是不出意外，全部忽略，现在回想起来，这里的无有效验证码，应该是指账密可爆破之类的漏洞，纯属是我自己当小丑了

但当时偶尔看到一个公众号文章，具体是谁发的记不清了，上面就在介绍Day1的挖洞培训，看了之后很心动，所以去添加了王老师的微信，咨询了一下课程，但8500的价格确实对我来说压力太大了，在学校一学期攒下来身上也就3000来块，我家境也一般，平时都是能不找家里要钱就尽量不要，在家也是想法设法节省钱，暑假学挖洞甚至就节省到下面这种程度

就开始厚着脸皮跟王老师晓之以理动之以情，给王老师看了我的博客，说了下我的大致情况，最终商量了一个解决方案后王老师也破例给了我一个学习的机会，太感谢王老师了（王佬真的是我人生中的贵人），从此也就开始了我在Day1的成长之旅，也就是这篇文章的标题。

来到Day1学习之后，第一件事就是设立一个自己挖洞的昵称，当时想了很多，觉得这个昵称的意义还是很大的，"Demo不是emo"这个昵称还是不太好听，所以就沿用了《夜的命名术》作品中主角的名字——庆尘，作为我的昵称，并将他在作品中说过的一句令我印象深刻的话，作为了我的座右铭——不要让时代的悲哀，成为你的悲哀，这就是庆尘这个昵称的由来（超级推荐师傅们去看一下《夜的命名术》这部作品，只能说主角人格魅力拉满）

最开始学挖洞也是先看看录播课，有疑问的就问王佬或师兄，课看完并通过简单的考核后，就可以自己尝试挖洞啦，但我仍然是好几十连忽开局，下面就是我最开始提交的漏洞状态

这只是一个SRC，还有另一个SRC，如下

进团队之后大概两周左右，全是忽略，然后就刚好赶上了团队的航海计划，开启了我的“有效挖洞生涯”，我提交了二十几个漏洞，运气比较好，过了三个漏洞，两个任意用户和一个垃圾洞，总共给了3050！！！（Day1航海计划真的嘎嘎靠谱，实战带挖，内部独家众测！！！）

之后就是自己到处挖了，因为暑假我也是一个人在家，所以基本是全职挖洞，就找点有活动SRC，各种混中危，所以大二才进团队的那个暑假算上航海的话就赚了8k左右，那个暑假大大小小至少交了200份报告，真正过的可能也就30份左右，也就是中间忽略了太多太多的漏洞，基本都是偶尔运气好捡到一个，每天看一会课就开始挖，挖又挖不到还花了很多时间，挖得我整个人精神都不正常了，平均每天就睡四个小时

还每天去缠着王佬和师兄问这问那的，问的我都有点不好意思了，但师兄们还是会很耐心的给我解答（哭死）

从最开始的忽略四五个才能运气好过一个，到现在猛猛出洞，测站的时候得心应手，甚至有种“你给我时间，我就一定能挖到洞”的这种感觉。有很多师傅来问我一路是怎么走过来的，其实我也说不上来，只会给他们说多看站，多找王佬和师兄们交流，因为最大的问题是，我都不知道我什么时候变成师傅们眼中的大佬了，在我的印象中，我只会到处找点垃洞和越权混中危，每个洞都是几百几百的，一个大洞都挖不到，那我的成长是因为什么呢？听我给你娓娓道来。

我认为一个原因就是团队里师傅们的支持，不得不说Day1团队里的气氛太好了（发自内心的说法），漏洞通过审核了就给群里的师傅们报喜，师傅们库库给你恭喜，这氛围谁待着不说一句身心愉悦？说一句挖洞界的“天上人间”也不为过吧

身心愉悦这样再下去挖洞也开心，而且师傅们也都不会藏着掖着，特别是分享和复盘的时候，都能看见一些师傅们的独特技巧，就猛猛学就完了，分享完了师傅们也都是各种夸奖，整的都不好意思了哈哈

我认为这样的环境下，一方面是看到别人的报喜，可以激励（也可以说是压力）你自己更努力去挖洞，去学习，第二个就是你自己报喜的时候，能给你增加很大的自信心，就比如我上面说的，要有一种“你只要给我时间，我一定能出洞”的感觉，所以我认为对于我来说，团队是帮助我成长的一个非常大的助力

第二个原因，也就是我认为最重要的原因，是自己要花时间去挖，我分享和我的经历之后，很多师傅都会来问，特别是才来的师傅们，或者一直没出货的师傅们，问我当时是怎么解决一直挖不到的问题，是怎样调整自己的之内的，但我难道是有什么窍门可以让我快速出洞吗，还是说我有什么窍门可以让自己时时刻刻都静下心来去挖洞呢，都没有的，我也只是个普通人，这类问题的答案在我看来永远只有四个字——多挖，多问

有的师傅一天看了十个站就累了不测了，第二天也看了十个站，就觉得自己很努力的，但还是挖不到，然后到处去找师傅问，我测了好多好多站，一直出不了货，感觉很烦躁，应该怎么办，举个例子，因为我擅长挖权限相关的漏洞，也就是越权和权限绕过居多嘛，很多师傅看我报喜就来问我挖的什么，我回他越权，他就问我几个问题，例如下面这些

这些我应该怎么帮你呢？我是不是也只能让你多花时间挖，多看看站呢，我刚进入团队的那个暑假，每天至少挖8个小时，经常也是好几天出不了货，交的洞全部被忽，我也气恼，但休息一会，透透气之后不还是得又坐在电脑前继续挖，所以师傅们千万不要怀疑自己，大部分人都是从这个阶段过来的，相信自己，多挖，多问，坚持，终会有拨开云雾见青天的一日！！！

可以说是团队和我自己的努力（我脸皮厚哈哈）才让我一步步成长，这个过程也从来都不是一些师傅认为的“突然打通了任督二脉”，“突然开窍”之类的，我认为这也是一个由量变到质变的过程，量变的过程才是你成长的关键。

两张图带你感受去年暑假刚进团队开始挖漏洞的状态（左）和现在挖漏洞的状态（右）的区别，这两张图是同一个SRC哦，最开始挖不来一点，狂交20个垃圾，现在挖主站都能猛猛出货

去年6月进入团队到到现在大半年的时间，SRC的收入已经3w多了，作为一个普通家庭的孩子，大学的这学期，靠挖洞已经完全不需要家里的生活费了，能够减轻家里的生活负担，节假日能给父母发给红包，亲近的人过生日也能自己花钱买个好点的礼物送过去，这也是我自己认为的"大学的经济自由"，所以我在开篇就说了，王老师真的是我人生的贵人，团队里的各位师傅们也超级好！！！当然，我自己也很努力（给自己点个赞）

我爸爸隔三差五就问我还有没有钱，担心我没钱用，还怕我因为挖洞耽误了学习，知道我平时在家不怎么用钱，这学期又一直没找他要钱，怕我在学校吃的很差，委屈自己，经常给我寄吃的，其实我这学期每个月赚的比原来家里给的生活费还多出不少哈哈

我爸对我太好了，什么事情都支持我，一路走来自然也离不开家人的支持啦，超爱他们。

所以我们认为对想了解SRC挖掘的，特别是大学生来说，投资自己，然后两到三个月回本，之后每天抽几个小时来挖，每个月赚个生活费出来真的很轻松，也能为家里减轻一些负担嘛，我认为还是很不错的。

最后自然是要狠狠的推一波Day1，一周最少两节的直播课，还有师傅们的0-1分享，新人进团还有航海福利，靠实战快速积累经验。遇到不会的，群里的师傅都会给你答疑解惑，群里的师傅们个个都是人才，说话又好听；还可以和同期的师傅们畅谈，和同期的师傅们一起努力进步，来到Day1获得的资源以及知识不仅是在挖洞方面，还有专业和人生的方方面面，Day1，不只是挖洞。

除此之外氛围真的没得说，出货了全群恭喜，还有不定期的全国线下聚会，吃喝玩乐的同时还能学一学师傅们的不传之秘，欢迎各位师傅们的咨询！！！

下面的是我自己的公众号，主要是发布一些PHP/Java代码审计的文章，偶尔遇到有意思的漏洞挖掘技巧也会发出来，欢迎师傅们关注！！！

有问题可以在公众号菜单联系我，SRC漏洞挖掘培训认准Day1安全团队，联系我咨询的话可以领取内部特价优惠哦

最后就是团队的核心价值观：

It's always day 1 永远保持第一天接触网络安全的热情