The Bug Hunter’s Guide to High-Quality Reporting | Arbaz Hussain (Immunify)
三句話摘要
智能合約安全漏洞賞金報告的五大質量標準——如何撰寫能獲得更快審理、更高獎勵的優質報告。 高質量的安全報告不在於發現漏洞本身，而在於如何讓陌生的審理者在最短時間內看清問題的全貌、影響與真實可行性。 標題是濃縮全景圖——優質標題必須包含三層資訊：攻擊向量（漏洞類型）、源頭（易受攻擊的合約位置）、最終影響（攻擊的實際後果）。只從標題讀者就能理解整個問題，而非留下謎團。
重點整理
重點- 1
標題是濃縮全景圖——優質標題必須包含三層資訊：攻擊向量（漏洞類型）、源頭（易受攻擊的合約位置）、最終影響（攻擊的實際後果）。只從標題讀者就能理解整個問題，而非留下謎團。
- 2
影響分析要看到終局——許多報告只說「發現重入攻擊漏洞」就停了，卻未交代「能盜取多少資金」或「如何傷害協議」。優質報告不止定位漏洞，更要推演攻擊者最終能造成什麼損害。
- 3
PoC必須真實可行，不能造假——絕不接受「實驗室培養」的攻擊（虛擬環境演示但主網不適用）或修改合約存儲的造假PoC。即使用Foundry的cheat code也要提供實際資金來源，不能無中生有製造攻擊資本。
- 4
誠實對待可行性限制——優質報告明確計算攻擊成本（gas費、資本要求、市場滑點）、執行條件（需要哪些前置條件）、風險（被檢測概率、時間窗口限制），並提出繞過方案，而非隱瞞不利因素。
實用技巧與重點
乾貨- 評判標準：
- 標題組成：Attack Vector + Source (合約名稱) + Function + Final Impact
- 描述重點：正常功能流程 vs 惡意行為流程的對比
- Impact對比：
- ❌ 差：「可能導致非預期行為與未授權狀態篡改」（模糊）
- ✅ 好：「導致直接盜取合約資金」（具體）
- PoC常見問題：
- ❌ Lab-grown PoC（虛擬環境，不適用主網）
- ❌ Onchain fork修改存儲（改white list、改storage——非實際狀態）
- ❌ 無限金錢漏洞（使用foundry cheat code但不提供資金來源）
- ✅ 接受cheat code但需說明實際資金來源
- 可行性評估維度：
- 攻擊成本效益（投資多少、獲利多少）
- 資本需求量
- 前置執行條件
- Gas成本計算
- 市場滑點對利潤影響
- 跨區塊執行的檢測風險
- 執行時間窗口限制
- 高質量報告的優勢：
- 奖励发放速度更快（减少来回确认）
- 奖励金额更高（反映投入的努力）
- 建立声誉与信任
- 获邀参与私有审计与私有赏金计划
結論
結論“高質量的安全報告不在於發現漏洞本身，而在於如何讓陌生的審理者在最短時間內看清問題的全貌、影響與真實可行性。”
完整解析
詳細Imuni平台的资深漏洞分类员Abas分享了一个在安全研究领域多年积累的核心观察：好的漏洞报告与坏的漏洞报告之间的差异，往往决定了赏金猎人能否获得快速审理和高额奖励。
这个差异体现在五个层面。首先是标题的构成。常见的错误做法是标题只写「Delegatecall漏洞在proxy manager中」，这只是陈述了攻击向量类型，读者仍需进一步阅读才能理解是哪个合约的哪个函数、以及攻击的最终后果是什么。优质报告的标题会这样写：「Proxy manager中未受保护的delegatecall在delegate函数中导致griefing攻击」——这样标题本身就是全景图，包含了漏洞类型、源头位置和最终影响。
其次是bug描述的完整性。讲者强调审理人员通常面对陌生的代码库，最需要的是看到「正常情况下函数应该如何运作」与「攻击者利用漏洞时会怎样偏离预期行为」的对比。这种对比让非代码作者也能迅速理解问题的本质。配合适当的markdown格式和代码行号引用，即使逻辑再复杂也能理清思路。
第三个关键维度是影响分析的深度。很多报告会说「这是一个重入攻击漏洞，可能导致非预期行为和未授权状态篡改」，但这留给审理人员一个黑盒子——到底能盗多少钱？对用户还是对协议有害？优质报告会直接说「重入攻击可导致直接从合约中盗取资金」，这样就把抽象的风险转化为具体的损害，便于估算严重等级。
第四层是概念证明的真实性。讲者详细解析了三种常见的"造假" PoC：一种是在虚拟环境中演示（主网不适用），一种是修改合约存储状态使自己成为white list（违反真实条件），一种是用foundry的cheat code凭空造币（缺乏资金来源的合理性）。平台接受cheat code辅助演示，但必须清晰说明攻击所需资本在真实生态中从何而来，即capital requirement必须可追踪。
最后是可行性限制的诚实评估。这要求报告者计算：攻击需要投入多少gas和资本？最终利润是多少？攻击者是否需要特殊权限或时间窗口？跨越多个区块执行时被检测的风险？市场滑点会如何削弱利润？优质报告会坦诚这些限制条件，甚至提出攻击者的潜在绕过方案，而非隐瞒困难因素。
讲者最后指出，这些做法带来的直接好处包括：奖励发放更快（因为审理人员和项目方无需反复沟通补充细节）、奖励金额更高（因为体现了白帽的专业投入）、建立长期声誉（从而获邀参与后续的私有审计和私有赏金计划）。本质上，高质量报告是对时间的最好投资——花时间把事讲清楚，比花时间等待和修改更划算。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
