好吧，我知道你是因为这个标题才来的。那我们就不浪费时间，直接开始吧。
你发现了一个漏洞，觉得它没什么大不了的……低严重性，不值得大惊小怪？不，你错了。让我告诉你我的故事。
那只是一个平常的日子，下午2点，我在随意测试各种东西（像往常一样）。突然我偶然发现了一个漏洞。没什么花哨的，没有爆炸性的利用。只是一个无聊的小输入字段验证问题。
现在大多数人会这样： “呃，影响不大。” 在报告里贴上“输入验证错误”。 提交。完成。
但我来这里不是为了做“大多数人”。
第一步：像公司一样思考
如果你真的想让你的漏洞脱颖而出，就要戴上公司老板的帽子。 问：如果有人疯狂利用这个漏洞，它实际上能做什么？
在我的案例中，那个小漏洞可以：
- 激增服务器使用量（翻译：公司要花更多钱）
- 导致潜在的DDoS攻击
- 浪费用户时间，延迟登录，甚至可能损害对产品的信任
突然之间，那个“无聊的漏洞”看起来不再那么无聊了。
第二步：我的行动
以下是我所做的：
- 影响优先：以“如果被滥用会发生什么”开始报告，而不是“这只是一个输入漏洞”
- 影响范围：我展示了这个漏洞实际能波及多远。用数字说话，不只是文字
- 证据：提供清晰的截图和干净的日志。没有混乱的转储，不需要分类人员进行侦探工作
- 商业角度：将漏洞转化为对金钱、用户和正常运行时间的影响
- CVSS计算：编写完整的向量并解释每个指标——没有猜谜游戏
是的，这就是一个4.4分的漏洞变成9.8分的过程。
不要做的事情
以下是许多猎手搞砸的地方：
- 不要在漏洞报告中使用像本文这样的随意语气。Medium适合氛围，公司想要正式和无聊的报告
- 不要声称夸张的事情，比如“这会炸毁整个服务器”。如果你这样做，忘记漏洞吧——你唯一会看到的爆炸是你未来赏金的爆炸
- 不要浪费时间写漏洞不能做什么。没人在乎
- 不要让分类人员猜测。总是用确切的步骤+证据来喂给他们
基本上：Medium = 个性。报告 = 专业性。
真正的教训
漏洞本身并不是金子。讲故事的方式才是。你展示漏洞的方式可以在“呃谢谢”和“哦该死，高严重性”之间产生天壤之别。
所以，是的，像专业人士一样记录，把你的语气留给博客，并永远记住： 一个漏洞的大小取决于你如何展示它（用真相，而不是谎言）。
因为在黑客世界中，好奇心是王道——而塑料总是等着被打破。
第五天见。 — Viraat