# 误报/无用漏洞数据库

> 记录所有被用户标记为"无用/误报/不可利用"的漏洞模式。
> **目的**: 下次遇到同类问题自动规避，不再重复踩坑。

---

## 记录格式

| 字段 | 说明 |
|------|------|
| `id` | 唯一编号 `FP-NNN` |
| `漏洞` | 漏洞类型/名称 |
| `原始定级` | 修改前的风险等级 |
| `用户反馈` | 用户原话 |
| `根本原因` | 为什么会是误报/无用的根因分析 |
| `修正动作` | 对参考文件做了什么修改 |
| `涉及文件` | 被修改的目标技能文件 |
| `标记日期` | 日期 |
| `状态` | `✅ 已处理` / `🔄 待处理` / `⏸ 暂缓` |

---

## 误报记录

### FP-001: JS硬编码凭据但不可登录
- **漏洞**: JS源码中发现测试账号密码(admin/123456)
- **原始定级**: 🔴 高危 — 敏感信息泄露
- **用户反馈**: "硬编码检测到测试账号密码，但是登录不了，属于无风险"
- **根本原因**: 凭据无法通过登录验证，没有实际危害。JS中写死的前端展示文本，不是真实凭据。
- **修正动作**: 
  1. 检测JS硬编码凭据时 → **必须先验证凭据是否能实际登录**
  2. 不能登录的硬编码凭据 → 不报漏洞，最多标注为"无用开发残留"
  3. 更新 web-xss.md / web-auth-logic.md: 增加"凭据必须可验证"规则
- **涉及文件**: SecSkills-main SKILL.md 规范一/三
- **标记日期**: 2026-06-05
- **状态**: ✅ 已处理

### FP-002: 共享数据误判为IDOR越权
- **漏洞**: 商户详情/审核接口可访问不同ID的数据
- **原始定级**: 🔴 高危 — 水平越权/IDOR
- **用户反馈**: "第二点和第三点属于共同数据所有不存在越权"
- **根本原因**: 数据是平台级共享数据，不是用户私有数据。测试账号本身有权限查看所有商户，不存在跨用户访问。
- **修正动作**:
  1. IDOR检测前 → **先确认数据归属模型**（共享池 vs 用户私有）
  2. 只有访问到"其他用户私有数据"才算IDOR
  3. 平台级管理数据不受此限
- **涉及文件**: SecSkills-main/references/web-auth-logic.md §1
- **标记日期**: 2026-06-05
- **状态**: ✅ 已处理

### FP-003: JWT可解码但不等于有漏洞
- **漏洞**: JWT Payload可base64解码看到内部字段
- **原始定级**: 🟡 中危 — 敏感信息泄露
- **用户反馈**: "jwt可解码但是不可逆，也不算漏洞，没有利用价值"
- **根本原因**: JWT本身就是base64url编码的，任何人都能解码Header+Payload。只有**签名可绕过**(alg:none/弱密钥)或**敏感信息明文在Payload中**(密码/密钥)才算漏洞。当前JWT用RS256非对称加密，不可伪造。
- **修正动作**:
  1. JWT检测时 → **只关注签名缺陷**(alg:none/弱密钥/密钥泄露)，不报Payload可解码
  2. 除非Payload中包含密码/密钥等真正敏感数据才报
- **涉及文件**: advsec-plus/references/api-security.md §1
- **标记日期**: 2026-06-05
- **状态**: ✅ 已处理

### FP-004: 内部路径泄露但无实际危害
- **漏洞**: Jenkins CI/CD工作路径出现在JS sourcemap中
- **原始定级**: 🟢 信息 — 内部信息泄露
- **用户反馈**: "危害不大，没有影响，不算漏洞"
- **根本原因**: Jenkins路径本身不包含凭据或敏感配置，只是开发路径痕迹。攻击者无法利用此路径访问Jenkins或CI/CD系统。
- **修正动作**:
  1. 内部路径泄露 → **只报能直接访问的**(如.git/config, .env文件)，不报sourcemap中的构建路径
  2. sourcemap路径泄露 → 降级为"信息备注"，不作为漏洞输出
- **涉及文件**: SecSkills-main SKILL.md 规范三
- **标记日期**: 2026-06-05
- **状态**: ✅ 已处理

### FP-005 ✅ 确认为真实漏洞: 验证码OCR可识别
- **漏洞**: 图形验证码可通过ddddocr自动识别(准确率>70%)
- **原始定级**: 🔴 高危 — 验证码绕过
- **用户反馈**: "可以通过算漏洞"
- **状态**: ✅ 确认为真实漏洞，应保留在报告中

---

## 规则总结（每次检测前必查）

| 检测结果 | 判断条件 | 动作 |
|---------|---------|------|
| JS硬编码凭据 | **验证能否实际登录** | 能→报漏洞；不能→不报 |
| IDOR/越权 | **确认数据是否用户私有** | 私有→报；共享/平台级→不报 |
| JWT可解码 | **检查签名是否可绕过** | 可绕过→报；不可绕过且Payload无敏感数据→不报 |
| 内部路径泄露 | **能否直接访问/利用** | 能访问(.git/.env)→报；sourcemap路径→不报 |
| 验证码OCR | **识别准确率如何** | >50%→报漏洞；<50%→不报 |

---

## 误报模式统计

| 模式分类 | 数量 | 本次新增 |
|---------|------|---------|
| 真实漏洞但不可利用(凭据无效) | 1 | FP-001 |
| 检测逻辑误判(共享数据≠越权) | 1 | FP-002 |
| 检测逻辑误判(JWT decode≠漏洞) | 1 | FP-003 |
| 信息收集噪音(路径泄露无危害) | 1 | FP-004 |
| **确认真实漏洞(OCR)** | 1 | FP-005 |
| **总计(含确认)** | **5** | — |
| **其中误报** | **4** | — |

---

## 屏蔽规则

| 规则 | 类型 | 添加日期 | 状态 |
|------|------|---------|------|
| — | — | — | — |

---

*最后更新: 2026-06-05 | 总记录: 5 (4误报 + 1确认)*
