Day-4：我如何将4.4分漏洞提升至9.8分CVSS评分——呈现方式的力量
我知道你是因为这个标题而来的。那我们就不浪费时间，直接进入正题吧。
发现漏洞时的常见误区
你发现了一个漏洞，觉得它很普通——低严重性，不值得大惊小怪？不，你错了。让我告诉你我的故事。
那只是一个平常的下午2点，我正在随意测试各种功能（像往常一样）。突然我偶然发现了一个漏洞。没有什么花哨的，没有爆炸性的利用。只是一个无聊的小输入字段验证问题。
现在大多数人会这样想： “呃，影响不大。” 在报告里写上“输入验证错误”。 提交。完成。
但我来这里不是为了做“大多数人”。
第一步：像公司一样思考
如果你真的想让你的漏洞脱颖而出，就要戴上公司所有者的帽子。 问：如果有人恶意利用这个漏洞，它实际上能做什么？
在我的案例中，那个小漏洞可以：
- 激增服务器使用量（翻译：公司要花更多钱）
- 导致潜在的DDoS攻击
- 浪费用户时间，延迟登录，甚至可能损害对产品的信任
突然之间，那个“无聊的漏洞”看起来不再那么无聊了。
第二步：我的行动方案
以下是我所做的：
- 影响优先：以“如果被滥用会发生什么”开始报告，而不是“这只是一个输入漏洞”
- 影响范围：我展示了这个漏洞实际能波及多远。用数字说话，不仅仅是文字
- 证据：提供清晰的截图和干净的日志。没有混乱的数据转储，不需要分类人员进行侦探工作
- 商业角度：将漏洞转化为对金钱、用户和正常运行时间的影响
- CVSS计算：编写完整的向量并解释每个指标——没有猜谜游戏
是的，这就是一个4.4分的漏洞如何变成9.8分漏洞的过程。
不要做的事情
以下是许多漏洞猎手常犯的错误：
- 不要在漏洞报告中使用像本文这样的随意语气。Medium适合展现个性，但公司需要正式和专业的报告
- 不要声称夸张的内容，比如“这会炸毁整个服务器”。如果你这样做，忘记漏洞吧——你唯一会看到的爆炸是你未来的赏金消失
- 不要浪费时间写漏洞不能做什么。没人在意
- 不要让分类人员猜测。总是提供确切的步骤+证据
基本上：Medium = 个性。报告 = 专业性。
真正的教训
漏洞本身并不是金子。讲故事的方式才是。你呈现漏洞的方式可以在“呃，谢谢”和“哦，严重性很高”之间产生天壤之别。
所以，是的，像专业人士一样记录，把你的语气留给博客，并永远记住： 一个漏洞的大小取决于你如何呈现它（用真相，而不是谎言）。
因为在黑客技术中，好奇心是王道——而塑料总是等着被打破。
我们第五天见。 — Viraat