從零開始的資安獵人：系列導讀——用白話走完 XSS、記憶體、VM 逃脫、TEE 與 AI 漏洞獎金
這是 `從零開始的資安獵人` 系列（0 → 14）的閱讀入口。每篇用白話講一個決定，並附可驗證的官方來源，適合沒有資安背景的讀者。
#web-security
4 篇文章漏洞獵人的工作台：抓請求、改參數、驗證權限
先重跑對照組，再只改一個欄位；狀態碼或文字反射本身都不是漏洞證明。
網站最常見的兩種洞：XSS 與 IDOR，為什麼獎金差這麼多
XSS 是網站把使用者輸入原樣放進網頁，讓別人的瀏覽器把它當程式執行，修法是輸出時轉義。IDOR 是伺服器收到 id 就給資料，沒檢查這筆資料是不是你的，修法是伺服器端檢查擁有者。Google 獎金表把 XSS 放在「在受害者瀏覽器執行程式碼」（C0），一般 Google 應用基準 10,000 美元；IDOR 放在邏輯漏洞（S2），價位看洩漏的資料多敏感，同樣在一般 Google 應用上是 3,133.7 到 31,337 美元。
需要登入的網站怎麼交給 Agent：Session、權限與自動化邊界
登入狀態不是方便攜帶的設定，而是一把能冒用身分的鑰匙。安全做法是使用專用低權限帳號與隔離 browser profile，把讀取、可逆寫入、高風險交易拆成三級，MFA 與最後提交留給人。