4. 漏洞重现与确认：触发条件、载荷构造、复现步骤与证据保留

漏洞重现与确认是安全加固流程中的核心验证环节。本章围绕触发条件分析、攻击载荷构造、复现步骤执行以及截图与日志保留四个关键动作，提供可操作、可追溯的SOP规范。所有复现操作必须在获得书面授权的隔离环境中进行，严禁在生产环境直接执行攻击载荷。

4.1 适用场景

• 安全工程师收到漏洞工单，需要验证漏洞报告的真实性与可达性。
• 开发团队完成修复后，需要确认修复是否彻底阻断原攻击路径。
• 安全审计或合规检查中，需要提供漏洞存在性及修复有效性的客观证据。
• 第三方漏洞报送或CVE披露后，内部需要自行复现以评估影响范围。

4.2 前置条件

4.3 操作步骤

以下流程按阶段组织，每个阶段输出明确的中间产物。

阶段一：信息收集与触发条件分析

1. 提取漏洞工单关键字段：漏洞类型、影响组件、URL/接口路径、参数名称、请求方法、预期风险等级。
2. 分析触发条件：确认漏洞触发的前提条件（如：用户会话状态、特定请求头、参数编码方式、数据库类型等），记录为"触发条件矩阵"。
3. 编写条件验证脚本：使用Python或cURL构造基础请求，验证目标系统可达且环境正常。

# 条件验证示例：确认目标接口可达
curl -v -X GET "https://stg-target-app.com/api/v1/user/info" \
  -H "Authorization: Bearer test_" \
  -H "User-Agent: Mozilla/5.0" 2>&1 | tee precheck.log

阶段二：攻击载荷构造

4. 选择载荷模板：根据漏洞类型（SQL注入/XSS/命令注入/SSRF等）选择对应的载荷模板库。
5. 定制攻击载荷：结合触发条件中的参数位置、编码方式、过滤规则，对模板进行变形与编码。
6. 载荷可用性测试：在隔离环境发送构造后的载荷，确认请求可到达服务端且未被WAF/IPS拦截。

#!/usr/bin/env python3
# 攻击载荷构造示例 — SQL注入盲注
import urllib.parse

base_url = "https://stg-target-app.com/api/v1/user/search"
raw_payload = "' OR 1=1 UNION SELECT username,password FROM users -- "
encoded_payload = urllib.parse.quote(raw_payload, safe='')
params = {"keyword": encoded_payload, "page": "1"}
full_url = f"{base_url}?{urllib.parse.urlencode(params)}"
print(f"[PAYLOAD] {full_url}")

阶段三：复现环境准备与执行

7. 重置环境状态：恢复数据库快照、清除会话缓存、重启应用容器，确保环境处于"初始状态"。
8. 执行首次复现：发送构造好的攻击请求，同步开启抓包工具（tcpdump / Wireshark）记录网络流量。
9. 验证响应与行为：检查HTTP响应状态码、响应体内容、服务器错误日志、数据库查询日志，确认漏洞是否被触发。
10. 至少执行3次独立复现：使用相同载荷在不同时间点执行，排除随机干扰，记录每次的"成功/失败"结果。

# 复现执行与日志记录命令
echo "[$(date '+%Y-%m-%d %H:%M:%S')] 开始第1次复现" | tee -a reproduce.log
curl -X POST "https://stg-target-app.com/api/v1/user/search" \
  -d "keyword=%27%20OR%201%3D1%20UNION%20SELECT%20username%2Cpassword%20FROM%20users%20--%20" \
  -o response_01.json -w "HTTP_CODE:%{http_code}\n" 2>&1 | tee -a reproduce.log
echo "[$(date '+%Y-%m-%d %H:%M:%S')] 第1次复现完成" | tee -a reproduce.log

阶段四：证据保留与确认

11. 截图留存：对请求构造界面、中间人代理请求面板、响应结果、服务器日志窗口依次截图。截图必须包含地址栏/URL、请求参数、响应数据区域。
12. 日志归档：收集目标服务日志、Web服务器日志、数据库审计日志、网络抓包文件（PCAP），按"漏洞编号+日期"命名归档。
13. 填写复现确认表：汇总触发条件、载荷、复现时间、成功次数、截图路径、日志路径，形成最终确认结论。

4.4 输入与输出物

4.5 责任边界

4.6 记录材料

所有记录材料按以下规范命名、归档，作为验收与审计的原始依据。

4.7 异常处理

4.8 验收标准

• 可复现性：在独立隔离环境中，使用同一载荷至少成功触发3次，且每次触发结果一致。
• 证据完整性：截图包含URL、请求参数、响应结果三要素；日志文件时间戳与复现操作时间匹配。
• 攻击载荷有效性：载荷在WAF关闭与开启两种模式下分别测试，明确记录拦截情况。
• 文档可追溯：复现确认报告包含：漏洞编号、触发条件、载荷原文、复现时间线、截图索引、日志路径、操作人签名。
• 环境清理：复现完成后，隔离环境已销毁或恢复至基线状态，不留后门或残留数据。