文章总结： 该文档介绍一个ClaudeCode技能，用于将已确认漏洞撰写成可直接提交SRC或0day平台的DOCX报告。其核心特点包括双重审查机制、Step式PoC规格、截图铁律及去AI腔写作标准，并内置固定DOCX版式。适用于企业SRC、EDUSRC及0day漏洞报告场景，强调通过分层验证门从源头过滤垃圾报告，提升提交稿质量与审核通过率。 综合评分： 75 文章分类： 漏洞分析,渗透测试,红队,安全工具

SRC漏洞报告成稿 Skill（SRC/0day 提交稿、分层验证门、Step 式 PoC、截图铁律）

v-yun v-yun

HACK之道

2026年9月21日 08:53 重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

介绍

一个 Claude Code skill：把已确认的漏洞写成可直接提交 SRC / 0day 平台审核方的 DOCX 提交稿。

工作流程 / Workflow

它约束什么

• 双重审查机制：第一道在挖掘过程中跑——遇到信号先快筛（明显不够格的当场止损，不浪费 token 深挖）；第二道在成稿前跑——完整分层验证门（硬门 / 按类型命门表 / 0day 收录审查门）。不过门不成稿，从源头挡掉”信号当漏洞”的垃圾报告。
• 双重可读写作标准：产品经理照着 Step 能复现，安全工程师看完觉得技术扎实——两个维度缺一返工。
• 固定 DOCX 版式：template.docx 内置全部样式（微软雅黑、Heading 2 章节、全文统一黑色），python-docx 逐节生成，朴素线性文档，不堆表格卡片。
• Step 式 PoC 规格：每步 = 一句话标题 + 操作上下文 + 原始请求块（从 Burp/Yakit 等任意抓包工具原文复制，不放 curl）+ 结果结论 + 真实截图。
• 截图铁律：每步必须配真实目标截图，严禁自造渲染。截图全程后台完成（headless/CDP），不把浏览器或抓包工具窗口弹到前台；数据包以原始文本块入报告，截工具界面时只截请求/响应详情面板，不截历史列表。
• 简洁硬规 + 去 AI 腔硬规：消灭八股标签、填充语、形容词渲染、模板化句式——平台 AI 检测和人工直觉都会筛掉模板腔报告。
• 完整成稿流程：查重 → 过验证门 → 生成 DOCX → 语义化命名 → 归档 → 更新/驳回两种处理 → 收尾清理。

适用场景

• 企业 SRC 漏洞提交稿（各厂商 SRC 通用版式）
• EDUSRC 教育行业漏洞报告
• 0day / 通用产品漏洞报告（内置通用型模板章节骨架 + 收录审查门）

项目地址

https://github.com/v-yun/vuln-report-skill/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：HACK之道 v-yun v-yun《SRC漏洞报告成稿 Skill（SRC/0day 提交稿、分层验证门、Step 式 PoC、截图铁律）》