COMPLIANCE / 站点规则
授权测试与合规边界
更新日期：2026 年 11 月 11 日 · 生效日期：2026 年 11 月 11 日
这不是一篇劝人守法的鸡汤，而是星巡研究院对站内技术内容、靶场、工具与社群的使用边界说明。 技术本身不分善恶，但每一次对真实系统的操作，都必须先回答一个问题：谁授权了你，授权到什么范围。
三条硬线，先记这里
- 1. 只碰你拥有，或已获得明确授权的资产。
- 2. 只做证明危害所需的最小验证，不做破坏、不拖数据、不持久化。
- 3. 无法确认授权时，默认不做；宁可放弃，不赌后果。
一、先分清身份：黑帽、白帽与红队
这三者不是按“技术高低”分的，而是按“有没有授权、目的是什么”分的。
BLACK HAT
黑帽 / 骇客
未经授权进入他人系统，窃取数据、篡改业务、勒索破坏。 这类行为可能触及《网络安全法》《刑法》等法律规定，具体责任以行为性质、情节和适用法律为准。
WHITE HAT
白帽 / 安全研究员
以提升系统安全为目的，在授权范围内寻找并提交漏洞，配合厂商或 SRC 修复。 看到漏洞就停手，只拿规则允许的奖励，不碰真实数据。
RED TEAM
红队
受企业、组织或项目方委托，在合同与资产范围内模拟更完整的攻击链，检验防御体系。 红队不是“随便打”的许可证，授权范围外的一步都不能走。
二、什么算“有效授权”
口头答应不算，聊天里一句“你可以试试”也不算。有效授权至少要能回答下面五个问题：
| 维度 | 要确认什么 |
|---|---|
| 授权来源 | 测试合同、书面确认、电子授权、SRC 平台规则或资产清单；要能说明“谁授权、授权什么”。 |
| 资产范围 | 明确到域名、IP、账号、接口或具体业务；授权 `a.com` 不等于可以碰同公司的 `b.com`。 |
| 时间窗口 | 授权通常有起止时间；过期后继续测试，性质就变了。 |
| 动作边界 | 允许探测、验证，还是允许进一步利用？有没有禁止项：拒绝服务、社会工程、物理接触、第三方系统。 |
| 数据与停止条件 | 真实数据能不能读取、保存、截图？发现可能影响业务时，是否立即停止并通知授权方。 |
本站内容不构成法律意见。涉及真实项目时，请让授权方或法务确认合同、范围和数据处理条款。
三、最小化验证：证明“能”，但不要“做穿”
授权测试的目标是证明风险存在，不是把风险真正造成。下面这些是站点认可的最小验证边界， 不是攻击教程：
测越权
只读取 1 条数据，证明“能多做一次无权操作”即可；不批量拉取，不下载用户隐私。
测篡改
只改你自己注册的测试账号或测试数据；不碰真实用户订单、真实业务记录。
测命令执行
只执行 `id`、`whoami`、`hostname` 这类无副作用命令证明权限；不写文件、不建账号、不装后门。
测文件读取
只读证明性文件，确认路径可达；不遍历业务数据、不读取个人信息。
测上传
只传无害测试文件证明上传点存在；不传 webshell，不寻求持久化。
如果验证动作可能影响业务连续性、写入真实数据或触碰第三方系统，先停下来，和授权方确认后再做。
四、靶场与站内工具的使用规则
- /ranges 星巡靶场：只在本机隔离环境或自建隔离网络内练习；靶场里的样本、源码与验证清单，不得直接用于真实目标。
- /tools/sourcetrace：只对你自己拥有或已获得书面授权的地址做只读探测；不做批量扫描，不绕访问控制，不把返回结果用于未授权目标。
- /tools/cve、/tools/lib、/tools/framework：是公开信息查询与原理速查，不是“一键利用”工具；不要把条目、函数或配置片段拼成针对真实目标的攻击脚本。
- 《渗透视角》与站内文章：只讲机制、检测与修复思路；不提供完整接管步骤、真实 Payload、清痕迹方法或批量利用链。
五、社群与内容边界
- 群内不接“帮我打某个站”“帮我查某个人”这类请求；不传播未授权目标、账号、数据或工具包。
- 不发布可直接复现的完整攻击链、免杀成品、批量拿站脚本；技术讨论停留在原理、检测和修复层面。
- 发现有人用站内内容从事未授权测试，站点有权删除内容、停止服务、移出社群，并在必要时配合监管。
- 转载或引用站内内容，请保留来源，不删改红线提示，不把学习材料包装成“实战武器”。
六、免责声明
本站内容用于合法授权的安全研究、运维排障与教学。读者应自行确认测试授权、资产范围与数据处理要求， 并自行承担因未授权操作产生的责任。本站不构成法律意见，也不对读者使用站内内容造成的后果负责。
如果你无法确认自己是否有授权，请默认“不做”。这不是保守，这是这个行业最基本的职业习惯。