漏洞排障证据保留寄存器、内存与样本版本漏洞复现一旦换了编译选项或输入崩溃地址就可能变化。排障记录要把运行环境和样本绑定起来不能只留一张调试器截图。现场信息按层保存记录二进制哈希、加载基址、异常类型、关键寄存器、调用栈和触发输入。堆问题再补分配释放轨迹避免无目的地导出整片内存。证据处理遵守最小化内存转储可能包含密钥和用户数据应限制访问、设置保留期限并做脱敏。对外报告只提供复现所需片段。符号文件与构建 ID 对应。地址换算说明 ASLR 状态。修复前后使用同一最小样本。结论和推测分开写“PC 落在不可执行页”是观察“存在可利用控制流劫持”还需要更多验证。把证据、判断和待确认项分栏评审更高效。安全排障不缺工具缺的是能回到原始样本的链条。版本、现场和判断对得上修复才不会追错目标。