漏洞挖掘心得：从资产收集到报告提交

好久没认真挖洞了。重新捡起来之后，我最直观的感受不是漏洞变难找了，而是报告越来越难写。

现在提交漏洞，经常要补各种证明和截图。复现过程、影响范围、测试账号、时间信息，少一项都有可能被驳回。有时候漏洞已经验证成功，最后却卡在材料不完整上，确实挺折磨人。

我现在习惯的测试流程

在明确授权范围之后，我一般先收集资产，再用扫描器跑一遍，尽快找出值得继续看的目标。扫描时要控制频率，必要时按项目规则使用代理资源，避免给业务造成压力或触发不必要的封禁。

扫描器只能帮我缩小范围。结果出来后，还是要手工测试和复现，确认问题是否真实存在、触发条件是什么、影响到底有多大。能稳定复现之后，再整理请求、响应、操作过程和证明材料。

AI 在这个阶段确实能提高效率，比如辅助分析规则、整理复现步骤、检查报告里缺了什么，或者把已经确认的信息组织得更清楚。但它的误报率不低，不能看到一个结果就直接上报。最后是否成立，还是得自己验证。

报告比想象中难写

下面这些基本都是最近提交时遇到的情况：

不是少截图，就是少材料。

这也让我慢慢改了习惯。现在测试成功后，我不会急着提交，而是先按审核人员的视角重新走一遍：证据能不能形成完整链路，截图里有没有目标和时间信息，复现步骤能不能让别人照着做出来。

AI 能帮忙，但不能替我确认

AI 做资产信息整理和初步分析很快，用来补充思路也不错。有时候我会把已经确认的请求、响应和规则交给它，让它帮我找遗漏的信息，或者整理漏洞影响。

但前提一直没变：测试要在授权和规则允许的范围内，AI 给出的结论也必须重新验证。它更适合当助手，不适合替我下最终判断。

重复漏洞这件事挺玄乎

还有一种情况让我有点摸不着头脑：不少漏洞在上报时被标记为重复漏洞，但我后续重新复现时，原来的问题已经修复了。

可能是之前已经有人提交，也可能是平台内部完成了处置，只是状态没有把这些细节展示出来。反正站在提交者的角度看，确实很玄乎。

现在我对漏洞挖掘的理解更实际了：扫描结果只是入口，手工验证决定漏洞是不是真的，完整的证明材料决定报告能不能顺利通过。AI 可以让过程快一点，但这两件事仍然绕不过去。