证据怎样记录，报告才有复现价值

外网资产排查应从低噪声的信息确认开始，再逐步进入服务识别和业务验证。先确认资产归属，可以减少把测试流量发送到错误系统的概率。

越权问题需要准备两个权限不同、数据相互隔离的测试账号。比较同一功能在不同账号下的响应状态、返回字段和业务结果，重点确认服务端是否重新校验对象💯归属。不要通过批量遍历编号扩大读取范围，单个脱敏对象已经足以证明访问控制缺陷时应立即停止。

文件功能应优先使用纯文本、图片或业务方提供的无害样本，观察扩展名校验、内容识别、重命名、存储隔离和下载权限。敏感信息暴露应只截取必要字段，并对姓名、联系方式、令牌、密钥和内部地址进行遮盖。若页面已经暴露凭据，应先通知责任人进行吊销，再开展后续确认。

文件上传与敏感信息暴露

真实验证的标准是证明风险成立、说明影响边界并保留可复现证据，而不是尽可能深入服务器。测试人员📢应先验证可控的最小动作，再根据结果决定是否继续。