漏洞提交报告模板（适配国内SRC/众测平台，可直接复制修改）

说明：不同平台（补天、漏洞盒子、TSRC等）表单字段略有差异，按需删减；仅用于平台授权范围内提交漏洞，严禁非法测试

漏洞报告

1. 基础信息

  • 报告标题：【漏洞类型】+ 目标业务 + 漏洞简述 示例：【SQL注入】用户查询接口存在SQL注入漏洞，可读取数据库敏感信息
  • 漏洞等级：□ 严重 □ 高危 □ 中危 □ 低危 □ 信息泄露
  • 目标地址：shturl.cc/12qD0U5QCsq6u
  • 测试账号（如有）：账号/密码（平台测试账号，不要提交真实用户账号）
  • 发现时间：2026-XX-XX
  • 提交人：XXX

2. 漏洞简述

一句话概括漏洞：描述哪里存在什么漏洞，攻击者可以实现什么危害。

示例：xxx系统的用户头像上传接口未对上传文件做后缀与内容校验，攻击者可上传jsp文件，实现服务器代码执行，获取服务器权限。

3. 漏洞复现步骤（最重要！尽量详细）

  1. 访问目标链接：shturl.cc/05Ohix1YHCL7ShNQ
  2. 抓包，修改上传文件为xxx.jsp
  3. 发送请求，文件上传成功，访问 shturl.cc/05Ohix1YHCL7ShNQ/xxx.jsp 可执行代码

    ✅要点：步骤要清晰，厂商安全人员可以跟着你的步骤复现漏洞；每一步配套截图说明。

4. 漏洞影响范围

  • 受影响域名/接口：
  • 危害说明：
    • 是否可越权查看用户数据
    • 是否可获取服务器权限
    • 是否能篡改数据、批量影响用户
    • 是否泄露手机号、身份证等敏感信息

5. 证明材料（截图/抓包数据包）

  1. 抓包请求数据包（请求头、payload）
  2. 漏洞成功利用截图（页面回显、查询结果）
  3. 响应包截图

    提示：截图建议打码无关信息，保留关键payload和回显内容；数据包可以贴在报告或者作为附件上传。

6. 修复建议（加分项，写清楚更容易获得高分）

示例：文件上传漏洞修复方案

  1. 服务端校验文件后缀，设置白名单，只允许jpg/png等图片格式；
  2. 校验文件内容头，不能仅依靠前端校验；
  3. 上传目录禁止脚本执行权限；
  4. 上传文件重命名，避免直接访问。

7. 补充说明

  • 测试声明：本次测试仅在平台授权范围内进行，未破坏业务、未下载泄露数据，测试完成后已清除测试痕迹。
  • 其他备注：

📌 写报告小技巧

  1. 标题一定要清晰，审核人员一眼看懂漏洞类型；
  2. 复现步骤是核心，如果不能复现，大概率会被判定无效；
  3. 危害不要夸大，实事求是；
  4. 一定要加上授权声明，规避自身风险。