hackerone

HackerOne 漏洞赏金

自动完成：范围解析 → 按资产并行测试 → 权威漏洞验证 → 提交报告。

快速开始

1. 输入：HackerOne 项目 URL 或范围 CSV。
2. 解析范围和项目指南。
3. 为每个符合条件的资产启动一个协调器（并行）。
4. 每个协调器运行标准的参与流程（参见 skills/coordination/SKILL.md）。
5. 为每个资产运行 validate-findings 工作流（权威提交门槛）。仅根据已验证的结果生成 HackerOne 报告——绝不提交状态不是 VALID/REPAIRED 的漏洞。

范围 CSV 格式

预期列：

• identifier — 资产 URL/域名。
• asset_type — URL、WILDCARD、API、CIDR。
• eligible_for_submission — 必须为 true。
• max_severity — critical / high / medium / low。
• instruction — 资产专属备注。

使用 skills/hackerone/tools/csv_parser.py 解析。筛选 eligible_for_submission=true 的条目。

Agent 部署

为每个资产并行启动一个协调器：

coordinator_role = Read("skills/coordination/SKILL.md")
Agent(prompt=f"{coordinator_role}\n\nTARGET: {asset_url}\nSCOPE: {program_guidelines}\nOUTPUT_DIR: ...",
      run_in_background=True)

10 个资产 → 10 个并行协调器（约 2-4 小时，而非顺序执行的 20-40 小时）。每个协调器都遵循 skills/coordination/SKILL.md 和 reference/role-matrix.md。

漏洞验证（权威提交门槛）

每个漏洞都需要 poc.py（可执行漏洞利用）、poc_output.txt（带时间戳的执行证明）、手动复现步骤和证据（截图 / HTTP 捕获 / 视频）。这些是验证器的输入。

每个资产的协调器返回后，编排器都会为该资产运行 validate-findings 工作流，并且仅提交被标记为 VALID 或 REPAIRED 的漏洞：

v = Workflow(name="validate-findings", args={
    "output_dir": asset_output_dir,   # the coordinator's OUTPUT_DIR
    "target": asset_url,
    "business_tier": "revenue",       # production/external bug-bounty scope; else "unknown"
    "votes": 3,                       # adversarial refuters per finding (bounty = stricter)
    "repair": True,                   # regenerate broken/absent PoCs so each finding has a runnable evidence script
    "strict": True,                   # one failed gate => REJECTED
})
# v.counts -> {total, valid, repaired, rejected}; v.validated[] / v.rejected[]
# Verdicts at {asset_output_dir}/artifacts/validated/{id}.json (+ false-positives/).
# Asset report at {asset_output_dir}/reports/validation-report.md.

validate-findings 是权威门槛，因为它直接预防 HackerOne 最常见的拒绝原因：它会根据 NVD、重新计算的 CVSS 基础分（根据向量计算）、CISA KEV 和供应商公告核实每个 CVE，运行（并修复）每个 PoC，直到生成可证明问题存在的证据，重新计算风险/严重程度，对照原始证据核实每项声明，并通过对抗性反驳排除误报。

编排器是唯一运行此工作流的层（它位于顶层；工作流低一级——嵌套层级合法）。为避免重复劳动，协调器可以将其穿插执行的逐项漏洞验证器（每个候选漏洞生成后立即运行）视为临时自检；独立运行的 validate-findings 结论才是提交的权威依据。REJECTED 漏洞属于误报——绝不会进入提交内容、附录或计数；artifacts/false-positives/{id}.json 是其唯一记录。同样，协调器舍弃的候选漏洞（未消除问题的 DEMOTED，位于 artifacts/dropped/）也绝不会提交。

HackerOne PoC 合约是标准漏洞合约的超集（skills/coordination/reference/validator-role.md）。

提交报告格式

每份报告只能基于已验证的漏洞生成。每份报告都必须包含 HackerOne 标准要求的部分：

1. 摘要（2-3 句话）。
2. 严重程度（CVSS + 业务影响；优先使用 v4.0，依次回退到 v3.1 → v3.0 → v2.0）——使用 validate-findings 根据向量重新计算的分数及其分配的风险级别，不要手动输入分数。
3. 复现步骤（编号且清晰）——与已验证的 verification-script.py 保持一致。
4. 可视化证据（来自 evidence/validation/）。
5. 影响（现实的攻击场景）。
6. 修复建议（可执行的修复措施）。

使用 skills/hackerone/tools/report_validator.py 验证报告格式（补充漏洞验证）。

输出结构

标准 OUTPUT_DIR（skills/coordination/reference/output-discipline.md）以及每个资产的 reports/submissions/，其中包含可直接提交至平台的 Markdown。validate-findings 会将判定结果写入 artifacts/validated|false-positives/，并生成资产的 reports/validation-report.md。

{OUTPUT_DIR}/
├── findings/
│   └── finding-NNN/evidence/validation/   # validate-findings proof packages
├── reports/
│   ├── submissions/                        # built ONLY from artifacts/validated/
│   │   ├── H1_CRITICAL_001.md
│   │   └── H1_HIGH_001.md
│   ├── validation-report.md                # validate-findings asset report
│   └── SUBMISSION_GUIDE.md
├── recon/
├── logs/
└── artifacts/
    ├── validated/          # {id}.json — submit these
    └── false-positives/    # {id}.json — never submit these

项目选择

高价值： 新项目（< 30 天）、响应迅速（< 24 小时）、赏金丰厚、攻击面广。避免： 响应缓慢（> 1 周）、赏金较低、范围限制严格。

提交检查清单

• validate-findings 判定结果 = VALID 或 REPAIRED（artifacts/validated/{id}.json 存在）。切勿提交 REJECTED 的发现。
• 根据向量重新计算 CVSS（优先使用 v4.0；回退顺序为 v3.1 → v3.0 → v2.0），并在适用 CVE 时与 NVD 保持一致（evidence/validation/cve-verification.md）。
• 可运行的 PoC，包含 poc_output.txt（验证器已重新运行或修复 PoC，并确认了证据令牌）。
• 分步复现说明。
• 可视化证据。
• 影响切实可信（参见 evidence/validation/risk-assessment.md 中的风险分数/等级）。
• 修复建议。
• 已对敏感数据进行脱敏。
• 资产的 eligible_for_submission=true。

常见拒绝原因（提前规避）

拒绝原因	预防措施
超出范围	确认 eligible_for_submission=true 且资产类型匹配
无法复现	validate-findings 会重新运行（并修复）PoC 3 次，并要求提供漏洞类别证据令牌——只有可复现的发现才能通过审核
重复	提交前搜索已公开的报告；尽快提交
影响不足	记录切实可信的攻击场景；validate-findings 会重新计算风险/严重性，确保评级有据可依
严重性 / CVSS 错误	validate-findings 会根据向量重新计算基础分，并与 NVD 和 KEV 交叉核验；任何不一致都会在提交前标记

工具

• skills/hackerone/tools/csv_parser.py — 解析 HackerOne 范围 CSV 文件。
• validate-findings 工作流 — 对每项资产的发现进行权威验证（NVD/CVSS 数学计算/KEV/漏洞利用运行/修复/风险/对抗性验证）。这是提交审核关卡；每项资产运行一次。
• skills/hackerone/tools/report_validator.py — 验证报告的格式是否完整（6 个提交部分）。它与 validate-findings 相辅相成（后者验证发现）；对每份基于已验证发现编写的报告运行此工具。
• skills/coordination/SKILL.md — 协调器脚手架。

用法

/hackerone <program_url_or_csv_path>