# 补天 / 国内 SRC 规范摘要

> 官方细则以账号内最新文档为准。补天部分公开页：  
> - https://www.butian.net/Help/faq  
> - https://www.butian.net/newneed  
> - 计划/角色/部分模板页可能需登录：`/Help/plan`、`/Help/role`、Article 模板

## 1. 渠道（补天常见）

| 渠道 | 说明 |
|------|------|
| 专属 SRC | 入驻厂商专属项目，按厂商范围与评级 |
| 公益 SRC | 公益/合作类，奖金与收录规则不同 |
| 未注册厂商 | 通过平台向未入驻厂商转送（接受度、奖金不稳定） |
| 众测 | 通常有等级/邀请门槛，任务期+范围严格 |

提交前先确认：**目标是否在当前可提交列表、是否在测、是否重复开洞**。

## 2. 标准流转

```text
提交 → 平台初审 →（待补充）→ 厂商复审/认领 → 审核通过
     → 奖金确认 → 待打款 → 打款完成
```

常见状态：待审核 / 待补充 / 审核不通过 / 审核通过 / 奖金确认中 / 待打款 / 打款完成。

**待补充**：按审核意见只补缺的证据与步骤，不要整篇重写跑题。

## 3. 报告必备字段（跨平台共识）

- 标题（厂商/系统 + 漏洞类型 + 简要位置）
- 漏洞类型、自评分级
- 影响 URL / 系统 / 影响面（用户量、业务线）
- 漏洞详情（成因简述，别空话）
- **完整复现步骤**（含账号角色、前置条件）
- **原始请求包 / 关键响应**（或等价 HAR/截图+文本）
- **实际危害证明**（读到的字段、改成功的状态，脱敏）
- 修复建议
- 可选：CVSS/CWE 作参考，国内仍看业务危害

## 4. 审核不通过 / 降级高频原因

| 原因 | 对策 |
|------|------|
| 无法复现 | 固定环境、完整 Cookie/头、时间点、多步编号、视频可选 |
| 危害过小 / 无实际危害 | 写清业务后果；能链式再证；别硬报缺头/Self-XSS |
| 未验证 / 抄袭扫描 | 亲手验证；附自己的包与时间戳 |
| 厂商太小、停维、无价值 | 选厂阶段过滤 |
| 重复 / 细节已公开 | 搜历史洞与公开 advisory |
| 超范围 / 破坏性测试 | 严格 RoE；超范围发现走披露通道勿硬测 |
| 证明不足 | 最小数据包证明“能读/能改/能冒充” |

## 5. 测试行为红线（实战）

- 禁止：DDoS、删改他人数据、挂马、内网横向到无关系统、社工员工、撞库
- 验证支付/积分类：小额自测或官方测试通道，不做套利
- 验证越权：用自己两个测试号；展示时打码
- 发现严重洞：停止扩大利用，整理最小 PoC 即提交

## 6. 定级话术（写给审核）

坏：`存在 SQL 注入，CVSS 9.8，属严重。`  
好：`未授权可通过 xxx 参数注入，证明可读取 users 表中手机号字段（已脱敏截图），影响生产订单库，具备批量拖取风险，建议严重/高危。`

原则：**漏洞类 → 前置条件 → 实际拿到什么 → 谁受害 → 建议等级**。

## 7. 与国际 BB 的差异（心理预期）

| 点 | 国内 SRC/补天 | HackerOne 等 |
|----|---------------|--------------|
| 定级 | 业务危害、厂商口径权重大 | VRT/CVSS + 项目政策 |
| 报告语言 | 中文为主 | 英文为主 |
| 自动化 | 粗暴全扫易被嫌 | 同样讨厌无脑扫描 |
| 范围 | 常按域名/业务系统列表 | program policy 极细 |
| 奖金 | 厂商确认后走平台 | 平台托管较标准 |

模板结构可借鉴国际优质报告，**措辞与定级对齐国内审核习惯**。

## 8. 与本技能其它文档的关系

- 定级阻力与入口顺序：ttack-priority-cn.md
- 高价值面操作清单：r/010.txt
- 报告正文结构：
eport-template.md
- GitHub 策展：r/009.txt


## 9. 提交前强制关联

- 合规门闩：`r/016.txt`
- 证据纪律：`r/007.txt`
- 报告骨架：`r/018.txt`
- 控制缺口思路（提高过审率）：`r/003.txt`

## 10. 标题速查（补天友好）

```text
[严重|高危|中危|低危][未授权|登录后|低权][类型] 系统/域名 位置 - 一句话业务危害
```

坏标题：`存在安全漏洞`  
好标题：`[高危][未授权][越权] service.example 主题后台 - 可读写运营内容与媒体`
