报洞被驳回的 5 个真实原因

同一份报告，自己看是高危，审核看是无效。分歧很少发生在技术细节上，多发生在三处：能不能到、有没有伤害、证据够不够。这三点落到具体判断上，就是五个常见的驳回原因。

同一份报告，两种结论

自己评的依据是"漏洞存在"：代码里有这个缺陷，逻辑上可以注入、可以越权、可以读到文件。

审核评的依据是"漏洞成立并造成影响"：从外部能走到，走到了能拿到不该拿的东西，而且能复现。

两个判据不是一回事。前者回答"是什么"，后者回答"能怎样"。只答前者，报告在审核眼里就是一段代码分析，不是一条漏洞。

五个原因先摆成一张表，后面逐条展开。

这张表也可以倒过来用：提交之前按五问加前置逐条自问，哪一问答不上来，驳回大概率就在那里。

原因一：不可达

代码存在，缺陷真实，但入口没注册、开关没开、类没装配、只在测试环境生效。

这是最常见的一条，也最容易被忽略。缺陷点写得很清楚，但没人证明"从外面怎么走到这里"。

判据很硬：能不能给出一条从公开入口到缺陷点的请求路径。 给不出，就先按"未验证"处理，不按漏洞处理。代码是静态的，可达性是动态的，后者才是结论。

原因二：无业务伤害

技术成立，伤害不成立。

一个典型反例：某个接口确实没有做权限校验，但它只返回当前登录用户自己的资料。未做权限校验是真的，越权不成立——读到的还是本人数据，没有多拿任何东西。这类报告在技术层挑不出毛病，在影响层给不出结论。

常见的三种形态：

• 只读到元信息——返回字段名、版本号、内部标识，不含业务数据。
• 只回显固定内容——无论传什么参数，返回同一段文本，输入不影响输出。
• 只影响自己——操作对象是当前账号，换个账号就不成立。

三种都指向同一个问题：伤害没有被证明，只是被推论。

原因三：单点当结论

证据停在半路。

拿到一个能读配置文件的位置，报告写"可读取数据库连接信息"。到这里是技术事实，再往后才是伤害：能不能连上、连上之后能读到哪些表、这些表里有没有业务数据。缺了后半段，报告只剩一个"可能"。

这类报告的通病是把"入口"当"终点"。入口证明的是"能进"，终点证明的是"进去之后拿到了什么"。

站内《危险函数检索为什么在真实项目里失效》拆过同一件事：搜到危险函数只是起点，能不能成链要看数据流。站内文章：危险函数检索为什么在真实项目里失效

原因四：无证据

四样东西缺一样，结论就无法复核。

• 没有报文：只有截图或文字描述，看不到请求与响应。
• 没有时间：不知道什么时候测的，环境早变了。
• 没有环境标识：不知道测的是生产、预发还是测试，三者的结论完全不同。
• 没有可复现步骤：别人按步骤走一遍，走不到同样的结果。

截图最容易出问题：只截了响应内容，没截请求，也没截账号与时间。审核拿到这样一张图，无法判断它属于谁、什么时候、在哪个环境。

证据的作用不是证明你说得对，是让别人能自己走一遍。

原因五：重复与已知

同一根因已经收录，或者这个行为本身就是设计如此。

前者不是技术问题，是检索问题：提交前没有确认这个位置是否已被覆盖。判据是能不能说清"这一条与已收录的那条差在哪"——差在入口、差在影响面、差在利用条件，都算；只是路径不同，不算。

后者是判断问题：公开分享链接、按设计允许的只读接口、面向内部的调试页，这些在代码上"没有鉴权"，在产品定义里是"允许访问"。判据看产品定义，不看代码有没有校验语句。

五个原因摊开看：前四个对应报告里的入口、路径、证据、伤害；第五个是重复与设计如此。四样齐了，还要排除重复。

• 入口：从哪个地址、哪个参数进来。
• 路径：经过哪些环节，在哪一步失去校验。
• 证据：请求与响应、时间、环境、账号身份。
• 伤害：拿到了什么、这些数据属于谁、影响范围多大。

四样齐了，报告就不再是"我认为这里有问题"，而是"这里有一个可以被复核的问题"。

驳回不是运气问题：四样里缺一件，或者四样齐了但没排除重复。 缺入口的补可达性，缺路径的补端到端，缺伤害的补影响面，缺证据的补报文；都齐了还被判重复，就补检索差异。把这四件事补齐、把重复排除掉，报告才从"我觉得"变成"可以复核"。

本文仅用于安全学习与授权环境下的测试。文中所有示例均为本地或授权靶场环境，不构成对任何真实系统的测试指引。

仅限授权测试，严禁非法滥用。