report-writing

用途

本技能用于撰写提交给漏洞赏金平台（HackerOne、Bugcrowd、Intigriti、Immunefi）的漏洞报告。目标是让漏洞分类员（triager）快速理解漏洞位置、影响和复现步骤，从而避免因表述模糊被降级或关闭。资料明确提出：分类员是人，不是系统，因此报告应以影响为先、使用人类语气、避免理论化语言。

最重要的规则

资料强调一条核心规则：绝不使用“could potentially”“could be used to”“may allow”这类措辞。要么漏洞确实能做到，要么就没有；如果未经验证，就不要声称。报告中应给出具体的攻击者可执行的操作、受影响端点、参数、暴露的数据以及所需权限等级。

标题公式

资料给出标题公式：[Bug Class] in [Exact Endpoint/Feature] allows [attacker role] to [impact] [victim scope]。示例包括：IDOR in /api/v2/invoices/{id} allows authenticated user to read any customer's invoice data、Missing auth on POST /api/admin/users allows unauthenticated attacker to create admin accounts 等。反例（模糊标题）如“IDOR vulnerability found”“Broken access control”“XSS in user input”。

平台报告模板

针对不同平台，资料提供了结构化模板：

HackerOne：包含 Summary、Vulnerability Details（含漏洞类型、CVSS 3.1 分数、受影响端点）、Steps to Reproduce（含环境、步骤、请求与响应）、Impact、Recommended Fix、Supporting Materials。
Bugcrowd：含 VRT Category、Description、Steps to Reproduce、Proof of Concept、Expected vs Actual Behavior、Severity Justification、Remediation。
Intigriti：含 Description、Steps to Reproduce、Impact、CVSS 3.1 分数、Remediation、Attachments；并注明标题格式、严重性由提交者设定、PoC 视频比截图更受重视、Intigriti 执行安全港（safe harbor）等平台特有说明。
Immunefi：面向智能合约，含 Summary（根因、受影响函数、经济影响、攻击成本）、Vulnerability Details（合约、函数、Bug Class、严重性、Root Cause 代码片段）、Proof of Concept（Foundry PoC，含 forge test --match-test test_exploit -vvvv）、Impact（量化）、Recommended Fix。

CVSS 评分

资料提供 CVSS 3.1 快速评分公式 CVSS = f(AV, AC, PR, UI, S, C, I, A)，并给出各指标权重与取值建议表格，以及常见漏洞类型的典型分数（如 IDOR 读取 PII 为 6.5 Medium、Auth bypass → admin 为 9.8 Critical、SSRF → cloud metadata 为 9.1 Critical 等）。此外还提供 CVSS 4.0 快速参考，说明其与 3.1 的关键差异（新增 Attack Requirements、Sub-Impact metrics，移除 Scope，User Interaction 分为 None/Passive/Active），并给出示例分数与向量、官方计算器链接 https://www.first.org/cvss/calculator/4.0。

严重性判定与降级应对

资料给出严重性决策指南（Critical P1、High P2、Medium P3、Low P4 各自的典型情形）、严重性自评清单（每个 YES 提升严重性）、以及“降级应对”表（针对程序方常见反驳如“Requires authentication”“Limited impact”“Already known”“By design”“Low CVSS”“Not exploitable”给出应对措辞）。

提交前检查与写作规范

资料提供 60 秒提交前检查清单，包括：标题符合公式、首句陈述影响、Steps to Reproduce 含可直接复制粘贴的 HTTP 请求、包含显示漏洞的响应、使用两个测试账号、计算并包含 CVSS、推荐修复简短、无拼写错误、报告少于 600 词、声称的严重性与描述的影响一致、未使用“could potentially”或“may allow”、PoC 可从全新状态复现。另有人类语气指引（用“I”而非“the researcher”、短段落、避免术语堆砌与被动语态）和面向分类员优化的 Steps to Reproduce 格式。

技能介绍

用途