从一次 403 到一条杀伤链：让 AI 挖洞不停步的提示词方法论
从一次 403 到一条杀伤链：让 AI 挖洞不停步的提示词方法论
这篇文章讲一次真实的挖洞经历，以及它如何逼出一套提示词方法。
叙事为主，方法为辅——因为方法都不是我事先想好的，而是被几个"问对了的问题"
一个个逼出来的。看懂那段故事，你自然就拿到了那把钥匙。脱敏声明： 文中目标已泛化为"某物流企业"，所有域名、桶名、路径、
版本号、内网拓扑、第三方集成信息均已脱敏，仅保留用于教学的技术机制。
第一章 起点：一个乖巧的 403
那天我照常丢给 AI 一个 URL，让它做信息收集。它回了一份规整的报告：
结论：目标企业的 WMS 系统使用云对象存储（OSS）挂 CDN 提供静态资源，桶列举已禁，保护正常。
平心而论，这份结论是对的——它测了列举，被 403 挡下，于是如实上报"保护正常"。
这几乎是一场对话的正常终点。绝大多数人到此就收工了。
但请注意：这是 AI 的终点，不是我给它的终点。因为这只是第一份报告，不是我的命令。
从这一刻起，我做的每一件事，都只是在回答一个问题：
"它说安全，可它没说它没检查什么。"
第二章 第一脚油门：「尝试」二字
我先试着横向问了一句："其他业务域会不会也挂了同款 OSS？"
它答得还在意料之中：基本没有，OSS 是专属业务的。结论依旧平淡。
然后我打出了一句后来看是全场胜负手的话：
"这个 403 能绕过吗 尝试。"
表面上看，这只是一次普通的绕过尝试。但事后复盘，这句话里藏着关键结构——"尝试"这个动词。
LLM 的出厂设置是"发现风险 → 报告并停止"。一个 403 在它眼里是"安全边界已建立"的天然信号，于是它本能地收口、总结、建议。而"尝试"这两个字，同时给了它两个东西：
- 授权信号——绕过是允许的动作，不是越权攻击；
- 行动指令——从"陈述状态"切换为"执行任务"。
如果说 AI 是一辆带自动刹车的车，那么"能绕过吗"还是问句，"尝试"才是挂挡。
没有这个动词，AI 内部的护栏会把它钉死在"防护正常"的结论上。
有了它，AI 才被允许去做它其实很擅长的事。
结果？它回来告诉我一个反直觉的发现：
403 只挡住了列举（ListBucket），对象级读取（GetObject）完全匿名放行。
请求一个不存在的对象返回 404（NoSuchKey）而非 403。
这里有个很容易被错过的细节——为什么 404 反而是好消息？
因为 403 意味着"动作根本没执行"，而 404 意味着"查找动作被放行了，只是没找到"。
两种响应，一条分界线：列举被禁，但读取是敞开的。
这就是"把 403 当信息，不当结论"的第一课。
第三章 顺藤摸瓜：被动数据是最香的情报
顺着这个口子，我又问："这几个桶名有信息吗？"
它给出了命名规律：{业务}-{环境}-{用途}，并主动给了下一步选项：
①出稿收工；②继续找文件 key 线索。
注意，它的默认推荐是 ① 出稿收工——AI 的天性又一次想收口。
我的选择是 ② 继续。
它从前端 JS、CSP 响应头里挖出了一串可读的 key 结构：
{业务前缀}/web/{js,css,fonts,...}……全部匿名 200。
至此，key 结构是有了，但真正的业务文件 key 还是拿不到——需要登录态。
卡住了。这通常是第二次收工点。
而我说的是："还有什么办法可以拿到 key 吗？"
这句话的作用，事后看，根本不是要 key，而是强制 AI 跳出当前目标这个上下文。
果然它回了 urlscan——被动历史资源：那些别人访问目标系统时真实加载过的对象 URL，被第三方收录过。零打扰、零请求命中目标，白嫖别人的访问记录。
然后一切顺理成章：
urlscan 给出真实 key（{业务前缀}/updater/Rel/manifests-*.xml）
→ manifest 里写了文件基址
→ 顺藤摸瓜摸到版本目录下的客户端压缩包
→ 数百 MB 的完整客户端安装包匿名下载成功。
从安装包里再往外扒：内部服务矩阵、内网主机名、第三方集成、部署拓扑……火力全开。
还记得那个委委屈屈的 403 吗？它现在是一整条杀伤链的起点。
第四章 把故事拧干：四条规律浮出水面
复盘这段旅程，真正起作用的不是任何一条"神级提示词"，而是四条反复出现、每次都为下一步铺路的规律：
规律一：授权动词 = 档位
"尝试 / 测 / 找 / 拆 / 换"这些动作词，是把 AI 从"报告员"切到"执行者"的扳机。
只有疑问句没有动作词，AI 就停留在"分析态"，永远不会动手验证。
规律二：每个结论都要反诘"你没覆盖什么"
"保护正常"从不是结论，而是一份没写明边界的报告。
正确反应永远是追问：它成立的范围是什么？哪些操作没被覆盖？
这一次，范围之外的答案是"读取"——一句话，一条链。
规律三：卡住 = 该换维度了，不是该收工了
拿不到业务 key 时，我选择跳出目标本身找被动数据源。
维度一换：目标直连（403）→ 横向（其他桶）→ 应用内线索（JS/CSP）→ 被动外部（urlscan）→ 供应链上游（manifest/安装包）。
每一次推进，都发生在"上一维度的边界"被触顶的时候。
规律四：一轮一问，用实测证据当锚
全程我从未问过"给我全面测一下这个目标"。每次只推进一个新方向，
下一句都从上一轮已验证的证据出发。挖掘是累积式、逐层加码的，
而不是一次性大任务那种平均用力、泛而浅。
这就是整件事的底牌：开放式问题堵住收口路径，授权动词维持进攻姿态，实测证据做每一次追问的支点。
第五章 沉淀为工具：五句能带走的模板
方法论要落地，得是能看到就用的句子。以下五个模块，背后正是前四章的规律，
任何目标、任何漏洞类型都可替换使用：
① 开场（每一个新目标的第一句）
我授权你对授权范围内目标做只读无害验证。禁止给修复建议，
每个结论必须附 request/response 证据。发现"安全/正常/防护到位"的判断时，
主动测它没挡住的那部分。开始 recon。
② 任何"它说安全"的反诘（规律一/二）
这个结论成立的范围是什么？它没覆盖哪些操作/路径/版本/权限层？
分别请求覆盖内和覆盖外的资源，对比响应差异，给出实测结果。
③ 遇到任何拦截/拒绝/加密（规律二的实战版）
这个拦截发生在哪一层——认证、授权、参数校验、还是权限模型？
换一个操作维度、换一种资源类型、换一个参数形态去测，看哪层有洞。
（就是"列举被禁 → 发现读取放行"那个动作的通用化）
④ 卡住时要换的维度（规律三）
当前目标的直接测试已到瓶颈。跳出目标本身：
被动数据源（历史收录/快照/urlscan）、供应链上游（下载源/依赖）、
相邻资产（同 CDN/同 IP/同指纹）、历史版本——按优先级去查，标注哪些零打扰。
⑤ 证据攒够时收口为链（规律四）
把我已证实的【A】【B】【C】串起来，找出可组合的高危链路。
顺着这条链，目标上还残留哪些可触碰点？继续测，不要总结。
第六章 三条铁律与四条禁忌
模板是弓，纪律是弦。没有弦，弓再好看也射不出去。
三条铁律：
- 一轮一问。 每轮只推进一个方向，拿到证据再开下一轮。面面俱到 = 泛泛而谈。
- 只用初测证据当锚。 下一句必须以"基于刚才实测的 X"开头。断了锚，AI 就开始脑补假装实测。
- 不信任"应该安全"的直觉。 它每说一句"防护正常"，就默认回①号模板反诘。只信实测，不信判断。
四条禁忌（说了就锁死）：
| 会锁死 AI 的话 | 它锁死了什么 |
|---|---|
| "做个全面渗透测试" | 注意力摊薄，产出泛浅 |
| "看看还有没有漏洞" | 无锚点，只会复述旧结论 |
| "这样安全吗？" | 诱导输出安抚性"安全"结论 |
| "给我建议和修复方案" | 瞬间切到防御思维 |
会话纪律补充：任何结论先反问"证据呢？"；一个方向三次没突破就换维；
每个新目标开新会话——方法论带走，上下文清零，防止上一个目标的情报污染判断。
尾声：那辆带刹车的战车
回到开头那个乖巧的 403。它从头到尾都没有错，
错的是如果那句"保护正常"就这么被接受了，故事的第三到第五章就都不会发生。
把结论钉在墙上的，从来不是 AI，是提问的人。
把 AI 当一辆带自动刹车的战车：你的提示词就是档位。
永远挂进攻挡——"尝试""测""拆""换"。
每次它自己拉手刹（报安全、收口、总结），
用一句开放问题把它踹回驾驶座："手刹拉了吗？继续开。"
一个 403 是死胡同还是入口，取决于你问的下一个问题。
全文完。成文于一次云存储桶实战复盘（目标已脱敏）。方法论已在该次实战中产出完整杀伤链：
403 → 匿名对象读取 → 文件 key → 被动历史收录 → 客户端安装包 → 内部拓扑 → 供应链风险。
浙公网安备 33010602011771号