挖洞最重要的是信息收集，不管是公益还是专属，保持良好的心态和积极向上的兴趣就好啦，挖不到就学习，学会了就去挖，循环反复。
4 个回答
对于新手的话，先挖一些公益src和edusrc，最好是用手工挖掘，这样对自己的一个挖洞思路有很好的帮助。
主要学会信息收集，收集到别人收集不到的薄弱资产，在对其功能点进行测试，功能点越多，漏洞出现的概率越大，挖洞就是用户参数可控
可以先从补天项目中的公益SRC列表中选择小公司进行漏洞的挖掘，刚开始可以挖弱口令、信息泄露、目录遍历、未授权访问这种简单基础的漏洞项目，慢慢的也增加自己的挖掘漏洞的信心，不然你可能挖一段时间挖不到之后就不挖了，摆烂了，信心没有了。
然后也可以找一些Nday的poc进行测试，然后可以进行一些漏洞的复现，也是提升自己技术的一种方法。