漏洞兩個(gè)平臺(tái)分?jǐn)?shù)不同：CVSS 向量怎么讀)
授權(quán)與合規(guī)聲明本文全部操作對(duì)象均為自建隔離靶場(chǎng)本機(jī)容器或隔離虛擬機(jī)涉及安全測(cè)試的環(huán)節(jié)必須以取得合法授權(quán)為前提。未經(jīng)授權(quán)的滲透測(cè)試違反《中華人民共和國(guó)網(wǎng)絡(luò)安全法》與《刑法》相關(guān)條款須承擔(dān)相應(yīng)法律責(zé)任。本文只講環(huán)境配置、版本對(duì)照與靶場(chǎng)隔離不含任何攻擊步驟、利用載荷與繞過(guò)手法請(qǐng)勿將文中環(huán)境指向任何非自有系統(tǒng)。一、同一個(gè)漏洞兩個(gè)平臺(tái)兩個(gè)數(shù)1.1 兩張截圖的差別一個(gè)學(xué)弟發(fā)來(lái)兩張截圖。同一個(gè)漏洞他在兩個(gè)站點(diǎn)各查了一次一個(gè)給的分?jǐn)?shù)明顯比另一個(gè)高一截。他問(wèn)是不是有一個(gè)站算錯(cuò)了。這個(gè)問(wèn)題問(wèn)得對(duì)但答案大概率是兩個(gè)都沒(méi)算錯(cuò)。分?jǐn)?shù)不一樣最常見的成因不是誰(shuí)算錯(cuò)了而是兩邊回答的根本不是同一個(gè)問(wèn)題。一邊答的是這個(gè)漏洞本身有多重另一邊答的是這個(gè)漏洞在你這套環(huán)境里、按現(xiàn)在的威脅形勢(shì)有多重。問(wèn)題換了數(shù)自然跟著換。1.2 分?jǐn)?shù)是「某一組假設(shè)下算出來(lái)的數(shù)」打個(gè)比方同一段路導(dǎo)航給你的預(yù)計(jì)耗時(shí)會(huì)因?yàn)槟氵x現(xiàn)在出發(fā)還是明早八點(diǎn)出發(fā)而差出一大截。路還是那條路變的是前提。CVSS 把這層前提顯式拆開了。規(guī)范開頭第一句就把指標(biāo)分成四組CVSS consists of four metric groups: Base, Threat, Environmental, and Supplemental.譯過(guò)來(lái)就是 Base、Threat、Environmental、Supplemental 四組。CVSS-1這四組的區(qū)別不在重要程度而在這些假設(shè)在什么范圍內(nèi)成立。Base 描述的是不隨時(shí)間變、也不隨使用者環(huán)境變的那部分性質(zhì)Threat 描述會(huì)隨時(shí)間變的那部分Environmental 描述只跟你自己的環(huán)境有關(guān)的那部分Supplemental 是補(bǔ)充說(shuō)明規(guī)范明確寫了它不改變最終分?jǐn)?shù)。CVSS-2所以用哪一組假設(shè)算的這句話落到實(shí)處就是用了哪幾組指標(biāo)。只拿 Base 算出來(lái)的數(shù)和 Base 疊加 Threat、Environmental 之后算出來(lái)的數(shù)本來(lái)就是兩個(gè)不同的數(shù)。它們誰(shuí)也不比誰(shuí)更真它們各自對(duì)應(yīng)一套前提。1.3 這篇只教讀不教打分下面七章只干一件事讓你看見公告里那串由斜杠拼起來(lái)的東西時(shí)知道它說(shuō)了什么、以及它沒(méi)說(shuō)什么。有三件事本文不做。第一不教你怎么給一個(gè)漏洞打分——那需要你手里有資產(chǎn)、有威脅情報(bào)、有業(yè)務(wù)判斷不是讀一篇文章能學(xué)會(huì)的。第二不碰任何真實(shí)的漏洞實(shí)例通篇不給編號(hào)、不給分?jǐn)?shù)因?yàn)槠脚_(tái)實(shí)例頁(yè)本次沒(méi)有抓取核對(duì)任何某漏洞在某平臺(tái)是多少分的寫法都會(huì)變成編造CVSS-15待驗(yàn)證。第三不寫復(fù)現(xiàn)——本文全程只對(duì)著公告的文字較勁。你只要記住開頭這一句后面全是它的展開分?jǐn)?shù)不是漏洞的屬性是某一組假設(shè)下算出來(lái)的一個(gè)數(shù)。補(bǔ)一句出處本文對(duì)照的兩份規(guī)范都來(lái)自 FIRST 官網(wǎng)v4.0 那份的文檔版本號(hào)是 1.2核對(duì)日期為 2026-10-24。二、那串斜杠向量串的結(jié)構(gòu)2.1 開頭那段是標(biāo)簽不是指標(biāo)公告里那串東西正式名字叫向量串。它長(zhǎng)這樣開頭CVSS:4.0/。規(guī)范對(duì)它的定義是The CVSS v4.0 vector string begins with the label ‘CVSS:’ and a numeric representation of the current version, ‘4.0’.也就是說(shuō)第一段CVSS:4.0只回答一個(gè)問(wèn)題這是哪一版的記法。CVSS-3別小看這一段。它決定了后面所有段該怎么念。CVSS:3.1/開頭的那串指標(biāo)名字和取值范圍跟 4.0 不是一套你把兩串并排放著肉眼看著都是斜杠加字母實(shí)際是兩種語(yǔ)言。第六章會(huì)把這兩套語(yǔ)言逐項(xiàng)對(duì)上。2.2 順序固定Base 一項(xiàng)都不能少向量串里段的順序不是習(xí)慣問(wèn)題是合法性問(wèn)題。同一段規(guī)范接著寫A vector string must contain metrics in the order shown in Table 23, every other ordering is invalid. All Base metrics must be included兩句話兩個(gè)硬約束順序按規(guī)范里那張表來(lái)?yè)Q成別的順序就是無(wú)效串Base 那幾項(xiàng)必須全部出現(xiàn)。CVSS-3這兩個(gè)約束帶來(lái)一個(gè)很實(shí)用的推論串的長(zhǎng)度和段的排列本身就是信息。你不需要記住每個(gè)字母的含義只要看它是不是按規(guī)范順序排的、Base 是不是齊的就能判斷這條串能不能拿來(lái)跟別人比。排錯(cuò)順序的串、缺 Base 項(xiàng)的串都不該進(jìn)你的對(duì)比表。下面這兩串只是記法示意不對(duì)應(yīng)任何真實(shí)漏洞也不帶分?jǐn)?shù)CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H第一行是 4.0 的寫法第二行是 3.1 的寫法?？吹贸霾钤谀膯?.0 那行最后多了三項(xiàng)SC/SI/SA中間多了AT而 3.1 那行有一個(gè)S。這些差異不是排版是第六章要講的結(jié)構(gòu)性區(qū)別。想把段的順序擺到眼前最笨也最有效的辦法是把斜杠換掉。本機(jī)沒(méi)有裝任何 CVSS 工具下面兩條都沒(méi)有實(shí)際跑過(guò)??代碼待驗(yàn)證grep-oCVSS:4\.0/[^ ]*advisory.txt這行只是從一份文本里把向量串原樣撈出來(lái)。它不判斷對(duì)錯(cuò)只負(fù)責(zé)把那一串斜杠從一堆描述文字里拎出來(lái)。??代碼待驗(yàn)證grep-oCVSS:4\.0/[^ ]*advisory.txt|tr/\n|nl第二行把斜杠換成換行再編號(hào)一段占一行順序?qū)Σ粚?duì)一眼就能看出來(lái)。這兩條命令都寫在隔離環(huán)境的文本文件上沒(méi)有連接任何外部服務(wù)。2.3 省略的項(xiàng)按 X 處理X 不是零Base 必填所以省略這件事主要發(fā)生在 Base 之外的那幾組上。規(guī)范對(duì)這種省略有明確規(guī)定omitted metrics are considered to have the value of Not Defined (X)省掉的指標(biāo)按未定義X處理。CVSS-4這一句最容易被讀歪。X 不是 0不是最輕也不是最重它的意思是這一項(xiàng)沒(méi)有給出判斷。把它當(dāng)成最低值你會(huì)系統(tǒng)性低估把它當(dāng)成最高值你會(huì)系統(tǒng)性高估。兩種都錯(cuò)。它也解釋了一類平臺(tái)差異同一個(gè)漏洞一邊把某一項(xiàng)填了具體值另一邊留了 X。兩邊的串看起來(lái)只差幾個(gè)字母可它們對(duì)我們知道什么的坦白程度不一樣。讀串的時(shí)候順手看一眼有沒(méi)有 X比記住每個(gè)字母的含義更有用。三、四組指標(biāo)各管什么3.1 Base不隨時(shí)間、不隨環(huán)境變的那層底子Base 的定義是內(nèi)在性質(zhì)規(guī)范的原話是它c(diǎn)onstant over time and across user environments——不隨時(shí)間變也不隨使用者的環(huán)境變。CVSS-2它由五個(gè)描述攻擊這件事有多難的指標(biāo)加上兩套描述打穿之后影響多大的指標(biāo)構(gòu)成。五個(gè)指標(biāo)各自的含義規(guī)范是這么說(shuō)的CVSS-5AV攻擊者能多遠(yuǎn)地夠到這個(gè)漏洞。規(guī)范的說(shuō)法是攻擊者在邏輯上和物理上離得越遠(yuǎn)這個(gè)值越大。AC攻擊者為了繞開系統(tǒng)里已有的安全增強(qiáng)條件必須主動(dòng)做多少可測(cè)量的動(dòng)作。AT部署與執(zhí)行上的前置條件也就是這漏洞要成立環(huán)境里得先滿足哪些條件。PR攻擊者在成功利用之前手上得先有多少權(quán)限。UI除了攻擊者之外還得有一個(gè)真人參與。看清這五項(xiàng)的共同點(diǎn)它們問(wèn)的都是要打成得先滿足什么。AV 問(wèn)距離AC 問(wèn)要不要主動(dòng)繞AT 問(wèn)環(huán)境前提PR 問(wèn)已有權(quán)限UI 問(wèn)有沒(méi)有別人幫忙。這是同一件事的五個(gè)側(cè)面不是五種不同的嚴(yán)重程度。影響面則分成兩套may include impact on the vulnerable system and/or the downstream impact on what is formally called the ‘subsequent system(s)’一套是被攻陷的那臺(tái)系統(tǒng)另一套是它后面被牽連的系統(tǒng)。規(guī)范還補(bǔ)了一句沒(méi)有外溢的時(shí)候后面那三項(xiàng)留 N。CVSS-63.2 Threat 與 Environmental會(huì)變的和隨你家環(huán)境變的Base 之外的兩組分的是兩種變。Threat 管的是隨時(shí)間變的那部分change over time。同一個(gè)漏洞上個(gè)月和這個(gè)月公開程度、利用的活躍度、有沒(méi)有可用的緩解手段都可能不同這部分不該被釘死在漏洞的固有屬性里。Environmental 管的是只跟你自己環(huán)境有關(guān)的那部分unique to a user’s environment。同一份代碼跑在你筆記本的容器里和跑在機(jī)房核心區(qū)前面有幾層隔離、后面掛著什么數(shù)據(jù)完全不是一回事。這部分只有使用方自己填得出來(lái)。這兩組的區(qū)別值得單獨(dú)記一句Threat 是大家都看得到、但會(huì)過(guò)期的信息Environmental 是只有你知道、也不會(huì)過(guò)期的信息。3.3 Supplemental唯一明說(shuō)不改分的一組第四組最容易被誤會(huì)。Supplemental 聽起來(lái)像補(bǔ)充加分項(xiàng)但規(guī)范寫得很清楚這組指標(biāo)do not modify the final score不修改最終分?jǐn)?shù)。CVSS-2它攜帶的是給人讀的上下文不是給公式用的輸入。所以看到一串向量里帶著補(bǔ)充項(xiàng)別指望它把分?jǐn)?shù)推高或壓低——它對(duì)數(shù)字沒(méi)有作用。把四組擺在一起分工就清楚了指標(biāo)組它描述什么誰(shuí)填會(huì)不會(huì)改最終分Base不隨時(shí)間、不隨環(huán)境變的內(nèi)在性質(zhì)公告分析人員、產(chǎn)品廠商、應(yīng)用廠商會(huì)Threat隨時(shí)間變化的那部分使用方組織會(huì)Environmental只與使用者環(huán)境有關(guān)的那部分使用方組織會(huì)Supplemental補(bǔ)充上下文規(guī)范引言未點(diǎn)名不會(huì)表里誰(shuí)填這一列依據(jù)是規(guī)范引言的兩句話Base 由漏洞公告分析人員、產(chǎn)品廠商或應(yīng)用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這一列是全文的樞紐。它說(shuō)明了一件事**同一個(gè)漏洞的分?jǐn)?shù)不一樣往往是因?yàn)樘畋淼娜苏驹诓煌奈恢蒙稀?*廠商填的是自己的產(chǎn)品使用方填的是自己的環(huán)境兩邊看到的世界本來(lái)就不一樣。四、分?jǐn)?shù)是查表加插值不是四則運(yùn)算4.1 規(guī)范自己怎么描述這個(gè)計(jì)算很多人以為 CVSS 是一套加權(quán)公式每項(xiàng)給個(gè)系數(shù)乘一乘加一加出個(gè)小數(shù)。規(guī)范不是這么寫的vectors are clustered in sets called MacroVectorsThe score of a MacroVector is defined by a lookup table … The score of a vector within each MacroVector is defined by interpolation.先把向量按幾個(gè)關(guān)鍵指標(biāo)聚成宏向量每個(gè)宏向量的分?jǐn)?shù)由一張查找表定義同一個(gè)宏向量?jī)?nèi)部各條向量的分?jǐn)?shù)由插值定義。CVSS-7翻成人話歸類查表再在表里的基準(zhǔn)點(diǎn)之間按比例挪一點(diǎn)。整個(gè)過(guò)程里沒(méi)有每項(xiàng)乘以權(quán)重再求和這一步。4.2 這條事實(shí)能擋掉三類錯(cuò)誤推理第一類**“把某一項(xiàng)從低改到高分?jǐn)?shù)一定漲一個(gè)固定值?！?*不成立。插值是分段做的同樣改一格落在不同的宏向量里挪動(dòng)的幅度可以差很遠(yuǎn)。第二類**“兩條串只差一個(gè)字母分?jǐn)?shù)應(yīng)該差不多?！?*也不成立。差的那一格如果剛好把向量挪進(jìn)了另一個(gè)宏向量落點(diǎn)就換了一張表。反過(guò)來(lái)兩條看起來(lái)差好幾個(gè)字母的串也可能落在同一格里插值之后差距很小。第三類**“我自己按權(quán)重算一遍能復(fù)現(xiàn)公告上的數(shù)。”**復(fù)現(xiàn)不了。除非你手里有那張查找表和插值規(guī)則否則算出來(lái)的只是另一個(gè)數(shù)。網(wǎng)上那些所謂計(jì)算器本質(zhì)都是把這兩樣?xùn)|西實(shí)現(xiàn)了一遍不是把公式抄了一遍——因?yàn)楣讲⒉淮嬖?。這一節(jié)的用處不是讓你會(huì)算而是讓你放棄從單個(gè)字母反推分?jǐn)?shù)的念頭。看到這一項(xiàng)升了一檔分?jǐn)?shù)怎么只漲這么點(diǎn)這種疑問(wèn)答案往往就在宏向量的歸類上而不在任何一項(xiàng)的權(quán)重上。4.3 檔位是另一張表而且是可選的數(shù)字之外公告里還會(huì)給一個(gè)定性檔位。規(guī)范給了一張對(duì)照表CVSS-10定性檔位對(duì)應(yīng)的分?jǐn)?shù)區(qū)間None0.0Low0.1–3.9Medium4.0–6.9High7.0–8.9Critical9.0–10.0這張表是量表不是任何一個(gè)漏洞的分?jǐn)?shù)別拿它當(dāng)例子用。同一段規(guī)范還有一句容易被跳過(guò)的話「The use of these qualitative severity ratings is optional」——用不用這套定性檔位是可選的。CVSS-10這句話解釋了一個(gè)常見困惑為什么有的公告只給數(shù)字不給檔位有的給檔位但用的詞跟這張表對(duì)不上。因?yàn)闄n位是規(guī)范提供的便利不是強(qiáng)制輸出?？吹礁呶?yán)重這類詞先確認(rèn)它是 CVSS 的檔位還是發(fā)布方自己那套分級(jí)兩者同名不同義的情況并不少見。順便說(shuō)一句檔位這套東西在 3.1 和 4.0 之間沒(méi)有改動(dòng)兩邊是同一張表。CVSS-13這件事后面還會(huì)用到——它意味著高危這個(gè)詞的含義沒(méi)變變的只是算出數(shù)字的那套問(wèn)法。五、為什么兩個(gè)平臺(tái)不一樣5.1 誰(shuí)填哪組兩份不同的作業(yè)第三章那張表里誰(shuí)填這一列是全文的樞紐這一章先把它說(shuō)透。規(guī)范引言把填表的責(zé)任分給了兩類人the Base metrics are specified by vulnerability bulletin analysts, product vendors, or application vendorsThe Threat and Environmental metrics are specified by consumer organizationsBase 由公告分析人員、產(chǎn)品廠商、應(yīng)用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這個(gè)分工不是行政安排是信息可得性決定的。廠商知道自己產(chǎn)品里那段代碼怎么寫的卻不知道你把它部署在哪、前面有幾層網(wǎng)關(guān)、后面掛著什么庫(kù)使用方正好相反。兩邊都只能填自己看得見的那一半。于是兩個(gè)平臺(tái)分?jǐn)?shù)不同的第一種解釋就出來(lái)了**它們?cè)谔顑煞莶煌淖鳂I(yè)。**一個(gè)站給的是廠商視角的 Base 分另一個(gè)站補(bǔ)上了自己那套威脅與環(huán)境判斷。前者不是錯(cuò)的它只是回答得少一些。這里有個(gè)容易踩的坑把分?jǐn)?shù)高的那個(gè)當(dāng)成更權(quán)威。分?jǐn)?shù)高低跟權(quán)威性沒(méi)關(guān)系跟這套假設(shè)有多貼合你的場(chǎng)景才有關(guān)系。如果補(bǔ)了 Environmental 的那個(gè)站它的環(huán)境假設(shè)跟你的環(huán)境不像它的數(shù)對(duì)你反而更沒(méi)用。5.2 命名法B / BT / BE / BTE規(guī)范給了四個(gè)寫法專門標(biāo)明這個(gè)數(shù)是哪幾組算的CVSS-B Base metrics; CVSS-BE Base and Environmental metrics; CVSS-BT Base and Threat metrics; CVSS-BTE Base, Threat, Environmental metricsCVSS-8四個(gè)后綴其實(shí)就是把用到的組名首字母拼在一起寫法用了哪幾組通常誰(shuí)給能不能直接比CVSS-B只有 Base廠商、公告分析人員只能跟同為 B 的比CVSS-BTBase 加 Threat有威脅情報(bào)的使用方只能跟同一時(shí)間窗的 BT 比CVSS-BEBase 加 Environmental有資產(chǎn)清單的使用方只在自己組織內(nèi)部有意義CVSS-BTEBase、Threat、Environmental做完整評(píng)估的使用方出不了自己組織的門這張表最該記住的是最后一列。BE 和 BTE 是給自己看的數(shù)它把你家的隔離層數(shù)、數(shù)據(jù)敏感度、暴露面都算進(jìn)去了這些前提別人沒(méi)有所以別人既復(fù)現(xiàn)不了也不該拿它跟自己的數(shù)比。還有一點(diǎn)Supplemental 不在任何一個(gè)后綴里。這跟第三章那條對(duì)得上——它不改分自然也就不進(jìn)命名?？吹椒?jǐn)?shù)先找后綴這個(gè)習(xí)慣能省掉很多爭(zhēng)論。沒(méi)有后綴的按上下文判斷它至少是 Base-only有后綴的先看那個(gè)后綴跟你手里那個(gè)數(shù)是不是同一套。5.3 第三種可能CVSS 只是風(fēng)險(xiǎn)的輸入還有一類不一致根本不在分?jǐn)?shù)上而在用途上。規(guī)范對(duì) CVSS 的定位寫得很克制Consumers may use CVSS information as input to an organizational vulnerability management process that also considers factors that are not part of CVSS它是輸入不是結(jié)論。規(guī)范緊接著列了一串不在 CVSS 范圍內(nèi)的因素包括監(jiān)管要求、受影響的客戶數(shù)量、金錢損失、生命與財(cái)產(chǎn)、聲譽(yù)。CVSS-11這串東西沒(méi)有一項(xiàng)塞得進(jìn)向量串。所以這個(gè)漏洞要不要今晚加班修這個(gè)問(wèn)題CVSS 答不了它能答的只是在這組假設(shè)下技術(shù)面有多重。于是兩個(gè)平臺(tái)的分歧還有第三種來(lái)源一個(gè)在給你技術(shù)評(píng)分另一個(gè)在給你處置建議兩者背后的假設(shè)根本不是一回事。拿建議去跟分?jǐn)?shù)比屬于跨物種比較。這份「四組指標(biāo) 四個(gè)后綴」的對(duì)照我壓成了一頁(yè)速查跟下面這個(gè)碼放在一起了六、v3.1 和 v4.0 對(duì)著看6.1 三組變四組老公告和新公告分?jǐn)?shù)不同很多人第一反應(yīng)是平臺(tái)偷偷改了算法。更常見的情況是它們用的根本不是同一版規(guī)范。v3.1 的組數(shù)是三組CVSS consists of three metric groups: Base, Temporal, and Environmental.Base、Temporal、Environmental。CVSS-12到了 4.0 變成四組多出一個(gè) Supplemental而會(huì)隨時(shí)間變的那部分在 4.0 里叫 Threat。CVSS-1組數(shù)一變“同一組假設(shè)這句話的含義就變了。3.1 里你把三組填滿跟 4.0 里你把 Base 填滿看著都是填完了”覆蓋的范圍不一樣。6.2 影響指標(biāo)一個(gè)開關(guān)拆成兩套這是兩版之間最大的一處結(jié)構(gòu)差別。v3.1 的 Base 是 AV、AC、PR、UI、S、C、I、A 八項(xiàng)。CVSS-12其中 S 是一個(gè)范圍開關(guān)用來(lái)區(qū)分影響留在被攻陷的那臺(tái)系統(tǒng)內(nèi)還是溢出到了后續(xù)系統(tǒng)。4.0 把這個(gè)開關(guān)拆了換成兩套并列的影響指標(biāo)VC、VI、VA 描述被攻陷的系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)。CVSS-14CVSS-6v3.1 Base: AV / AC / PR / UI / S / C / I / A v4.0 Base: AV / AC / AT / PR / UI / VC / VI / VA / SC / SI / SA上面兩行不是命令是項(xiàng)數(shù)對(duì)照。一眼能看出兩件事3.1 是八項(xiàng)4.0 是十一項(xiàng)4.0 那行多出來(lái)的AT和最后三項(xiàng)正好對(duì)應(yīng)新增一項(xiàng)前置條件和影響面拆成兩套。這個(gè)改動(dòng)帶來(lái)的直接后果是**同一個(gè)判斷在新舊兩版里要填的格子數(shù)不一樣。**在 3.1 里用一個(gè) S 就能表達(dá)的意思到 4.0 得拆到六項(xiàng)影響指標(biāo)上其中三項(xiàng)專門描述后續(xù)系統(tǒng)每一項(xiàng)都有判斷余地判斷余地就是分?jǐn)?shù)差異的來(lái)源。所以老公告和新公告不一樣的另一半答案在這里不全是平臺(tái)立場(chǎng)問(wèn)題記法換代本身就換了問(wèn)法。6.3 UI 三值、新增 AT檔位沒(méi)動(dòng)還有兩處小改動(dòng)影響不算小。第一處是 UI。3.1 的 UI 是兩個(gè)值4.0 變成三個(gè)值。CVSS-14多出來(lái)的那一檔意味著要有人參與不再是非黑即白有些情形放在舊記法里只能二選一免不了要往某一頭靠。第二處是 AT全稱 Attack Requirements4.0 新增。它跟 AC 的分工要分清AC 問(wèn)的是攻擊者得主動(dòng)做多少動(dòng)作去繞開已有防護(hù)AT 問(wèn)的是環(huán)境里得先具備哪些部署與執(zhí)行條件。CVSS-5一個(gè)是要?jiǎng)邮肿鍪裁匆粋€(gè)是得先有什么。把這幾處跟第四章那條連起來(lái)看還有一條別忘定性檔位兩張表一樣五個(gè)檔位、區(qū)間都沒(méi)改。CVSS-13所以高危這個(gè)詞的含金量沒(méi)變變的是算出數(shù)字的問(wèn)法?？吹叫鹿娴臋n位跟老公告一樣不代表內(nèi)容沒(méi)變。對(duì)比項(xiàng)v3.1v4.0指標(biāo)組三組Base、Temporal、Environmental四組Base、Threat、Environmental、SupplementalBase 項(xiàng)數(shù)八項(xiàng)十一項(xiàng)性狀指標(biāo)AV、AC、PR、UIAV、AC、AT、PR、UI影響指標(biāo)S 一個(gè)范圍開關(guān)加 C、I、AVC、VI、VA 描述被攻陷系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)用戶交互 UI兩個(gè)值三個(gè)值部署前置條件沒(méi)有單獨(dú)一項(xiàng)新增 AT不改分的補(bǔ)充組沒(méi)有這一組有 Supplemental明說(shuō)不改分命名法未見這套后綴本文未核到對(duì)應(yīng)寫法CVSS-B / BT / BE / BTE定性檔位五檔五檔與 v3.1 相同七、讀公告的四步7.1 四步拿到一串向量按這個(gè)順序過(guò)一遍比逐個(gè)字母查詞典快得多。認(rèn)版本。串頭是CVSS:3.1/還是CVSS:4.0/。版本認(rèn)錯(cuò)后面每個(gè)字母的含義都會(huì)錯(cuò)位?？?Base 齊不齊、順序?qū)Σ粚?duì)。Base 缺項(xiàng)、順序被打亂的串按規(guī)范是無(wú)效串別拿去跟任何東西比。CVSS-3找后綴或者看有沒(méi)有 Threat 與 Environmental 的值。這一步?jīng)Q定你手里是 CVSS-B 還是 CVSS-BTE。CVSS-8判斷能不能比。同版本、同組、同假設(shè)三個(gè)條件都滿足才叫可比。第三步最容易被跳過(guò)。很多人拿到分?jǐn)?shù)就直奔結(jié)論根本沒(méi)注意手里那個(gè)數(shù)是 B 還是 BTE于是把廠商視角和自家視角的兩個(gè)數(shù)放進(jìn)一張表排名次——這張表從第一行起就沒(méi)有意義。7.2 三個(gè)不該做的比較跨版本比。3.1 和 4.0 的 Base 項(xiàng)數(shù)、影響指標(biāo)寫法都不一樣兩個(gè)數(shù)不是同一把尺子量出來(lái)的。要比先比問(wèn)法再談數(shù)字?？缃M比。CVSS-B 跟 CVSS-BTE 的差別不是精度差別是假設(shè)范圍的差別。一個(gè)只算了內(nèi)在性質(zhì)一個(gè)把威脅態(tài)勢(shì)和你家環(huán)境都算了進(jìn)去這兩個(gè)數(shù)的大小關(guān)系說(shuō)明不了任何事。拿 CVSS 當(dāng)處置優(yōu)先級(jí)。它只是輸入。CVSS-11同樣一個(gè)數(shù)落在核心庫(kù)上和在測(cè)試機(jī)上該做的事完全不同這不是 CVSS 的缺陷是它刻意留出的邊界。順帶說(shuō)一條自查用的小命令。本機(jī)沒(méi)有裝任何 CVSS 相關(guān)工具下面這條沒(méi)有實(shí)際跑過(guò)??代碼待驗(yàn)證grep-oCVSS:[0-9.]*/advisory.txt|sort|uniq-c它做的事很樸素把一份公告里出現(xiàn)過(guò)的版本標(biāo)簽都數(shù)一遍。如果同一份公告里既有 3.1 又有 4.0 的串說(shuō)明發(fā)布方在不同時(shí)間點(diǎn)補(bǔ)過(guò)數(shù)據(jù)你手里的兩串可能壓根不是同一輪評(píng)估的產(chǎn)物。7.3 回到那兩張截圖那個(gè)學(xué)弟的問(wèn)題現(xiàn)在可以拆成三問(wèn)這兩個(gè)數(shù)是哪一版規(guī)范算的各自用了哪幾組指標(biāo)是誰(shuí)填的三問(wèn)答完多半會(huì)發(fā)現(xiàn)兩個(gè)數(shù)根本不構(gòu)成矛盾——一個(gè)答的是這個(gè)漏洞本身有多重另一個(gè)答的是在這套威脅形勢(shì)與環(huán)境假設(shè)下有多重。它們不是對(duì)同一個(gè)問(wèn)題的兩種答案是兩個(gè)問(wèn)題各自的答案。真正需要警惕的是另一種情況兩個(gè)數(shù)看起來(lái)可比實(shí)際不可比而你又拿它做了決定。向量串的價(jià)值就在這兒——它把這個(gè)數(shù)是在什么前提下算的寫在了明面上只要你肯讀那串斜杠就不容易被一個(gè)孤零零的數(shù)字帶走。第七章這四步我做成了可以對(duì)著公告逐條勾的檢查表附表 A本文引用事實(shí)與官方出處對(duì)照表序號(hào)事實(shí)出處本文位置1CVSS 由四組指標(biāo)構(gòu)成Base、Threat、Environmental、Supplemental逐字FIRST《CVSS v4.0 Specification Document》引言Document Version 1.2第一章 1.2、第三章 3.1–3.32四組分工Base 不隨時(shí)間與環(huán)境變Threat 隨時(shí)間變Environmental 隨使用者環(huán)境Supplemental 不改最終分逐字同上引言第一章 1.2、第三章 3.1–3.33向量串以CVSS:加版本號(hào)開頭逐字同上§2第二章 2.14指標(biāo)須按規(guī)范表格順序出現(xiàn)其他順序無(wú)效Base 指標(biāo)必須全部包含逐字同上§2第二章 2.2、第七章 7.15省略的指標(biāo)按 Not DefinedX處理逐字同上§2第二章 2.36Base 五個(gè)性狀指標(biāo) AV/AC/AT/PR/UI 各自的定義逐字要點(diǎn)同上§2第三章 3.1、第六章 6.37影響指標(biāo)可含被攻陷系統(tǒng)與后續(xù)系統(tǒng)兩套無(wú)外溢時(shí)后續(xù)三項(xiàng)留 N逐字同上§2第三章 3.1、第六章 6.28向量聚為 MacroVector宏向量分?jǐn)?shù)由查找表定義組內(nèi)由插值定義逐字同上§7.1、§8第四章 4.1、4.29命名法 CVSS-B / BT / BE / BTE 四種寫法逐字同上引言第五章 5.2、第七章 7.110Base 由公告分析人員、廠商給出Threat 與 Environmental 由使用方組織給出逐字同上引言第三章 3.3、第五章 5.111定性檔位五檔及區(qū)間該檔位的使用是可選的逐字同上§5 Table 22第四章 4.312CVSS 是組織漏洞管理流程的輸入監(jiān)管要求、客戶數(shù)、金錢損失、生命財(cái)產(chǎn)、聲譽(yù)等不在其范圍內(nèi)逐字同上引言第五章 5.3、第七章 7.213v3.1 為三組Base、Temporal、EnvironmentalBase 含 AV/AC/PR/UI/S/C/I/A逐字FIRST《CVSS v3.1 Specification Document》引言、§1.1第六章 6.1、6.214v3.1 與 v4.0 的定性檔位一致同為五檔同區(qū)間v3.1 文檔 §5 Table 14v4.0 文檔 §5 Table 22第四章 4.3、第六章 6.315v4.0 以 VC/VI/VA SC/SI/SA 替代 S/C/I/A新增 ATUI 由兩值變?nèi)祻?fù)合條目由 CVSS-5、CVSS-6、CVSS-12 的取值表推出屬結(jié)構(gòu)性差異第六章 6.2、6.316Base 項(xiàng)數(shù) v3.1 為八項(xiàng)、v4.0 為十一項(xiàng)由第 6、13 行的指標(biāo)清單直接計(jì)數(shù)得出非規(guī)范原文表述第六章 6.2、6.317待驗(yàn)證具體漏洞在不同平臺(tái)上的分?jǐn)?shù)差異實(shí)例本次未抓 NVD 與廠商公告實(shí)例頁(yè)故全文不給編號(hào)、不給分?jǐn)?shù)本文未核到第一章 1.318待驗(yàn)證本機(jī)未安裝任何 CVSS 計(jì)算或查詢工具全部命令塊未實(shí)際運(yùn)行本機(jī)核對(duì)2026-10-24第二、七章代碼塊附表 B術(shù)語(yǔ)速查表術(shù)語(yǔ)一句話解釋向量串用斜杠把各指標(biāo)取值拼起來(lái)的一行字符串是分?jǐn)?shù)的輸入記錄指標(biāo)組按假設(shè)適用范圍劃分的四類指標(biāo)Base、Threat、Environmental、SupplementalBase描述漏洞內(nèi)在性質(zhì)不隨時(shí)間與使用者環(huán)境變化Threat描述會(huì)隨時(shí)間變化的威脅態(tài)勢(shì)由使用方填寫Environmental描述只與使用者自身環(huán)境有關(guān)的因素Supplemental補(bǔ)充上下文規(guī)范明寫不修改最終分?jǐn)?shù)宏向量MacroVector按關(guān)鍵指標(biāo)把向量聚成的集合分?jǐn)?shù)先按集合查表插值在同一宏向量?jī)?nèi)按偏離程度在基準(zhǔn)點(diǎn)之間取分CVSS-B只用 Base 指標(biāo)算出的分CVSS-BTBase 加 Threat 算出的分CVSS-BEBase 加 Environmental 算出的分CVSS-BTEBase、Threat、Environmental 三組算出的分XNot Defined省略指標(biāo)時(shí)的默認(rèn)取值意思是未給出判斷既非最低也非最高定性檔位None / Low / Medium / High / Critical 五檔區(qū)間固定是否采用由發(fā)布方?jīng)Q定可比性同版本、同指標(biāo)組、同假設(shè)三個(gè)條件同時(shí)滿足兩個(gè)數(shù)才談得上比較寫在最后這篇用到的資料寫這篇文章時(shí)我把 v4.0 和 v3.1 兩份規(guī)范的指標(biāo)表并排對(duì)了一遍最費(fèi)勁的是確認(rèn)分?jǐn)?shù)到底怎么算——規(guī)范寫的是查表加插值不是加權(quán)求和這一點(diǎn)決定了后面所有推理的方向順手也整理了幾份配套的東西靶場(chǎng)環(huán)境對(duì)照表DVWA、upload-labs 在 Windows / macOS / Linux 三平臺(tái)的可行性與推薦路徑Web 安全學(xué)習(xí)路線圖從基礎(chǔ)打牢到安全管理四個(gè)階段各學(xué)什么常用靶場(chǎng)清單每個(gè)靶場(chǎng)練什么、適合哪個(gè)階段資料是我自己整理的放在下面這個(gè)碼上掃碼即可獲取添加時(shí)備注「靶場(chǎng)」優(yōu)先通過(guò)。拿到之后建議先看環(huán)境對(duì)照表那一份先把靶機(jī)跟宿主機(jī)隔開再回去對(duì)著公告讀那串斜杠——順序?qū)Σ粚?duì)、Base 齊不齊比記分?jǐn)?shù)有用。 同一個(gè)漏洞兩個(gè)平臺(tái)分?jǐn)?shù)不同：CVSS 向量怎么讀
授權(quán)與合規(guī)聲明本文全部操作對(duì)象均為自建隔離靶場(chǎng)本機(jī)容器或隔離虛擬機(jī)涉及安全測(cè)試的環(huán)節(jié)必須以取得合法授權(quán)為前提。未經(jīng)授權(quán)的滲透測(cè)試違反《中華人民共和國(guó)網(wǎng)絡(luò)安全法》與《刑法》相關(guān)條款須承擔(dān)相應(yīng)法律責(zé)任。本文只講環(huán)境配置、版本對(duì)照與靶場(chǎng)隔離不含任何攻擊步驟、利用載荷與繞過(guò)手法請(qǐng)勿將文中環(huán)境指向任何非自有系統(tǒng)。一、同一個(gè)漏洞兩個(gè)平臺(tái)兩個(gè)數(shù)1.1 兩張截圖的差別一個(gè)學(xué)弟發(fā)來(lái)兩張截圖。同一個(gè)漏洞他在兩個(gè)站點(diǎn)各查了一次一個(gè)給的分?jǐn)?shù)明顯比另一個(gè)高一截。他問(wèn)是不是有一個(gè)站算錯(cuò)了。這個(gè)問(wèn)題問(wèn)得對(duì)但答案大概率是兩個(gè)都沒(méi)算錯(cuò)。分?jǐn)?shù)不一樣最常見的成因不是誰(shuí)算錯(cuò)了而是兩邊回答的根本不是同一個(gè)問(wèn)題。一邊答的是這個(gè)漏洞本身有多重另一邊答的是這個(gè)漏洞在你這套環(huán)境里、按現(xiàn)在的威脅形勢(shì)有多重。問(wèn)題換了數(shù)自然跟著換。1.2 分?jǐn)?shù)是「某一組假設(shè)下算出來(lái)的數(shù)」打個(gè)比方同一段路導(dǎo)航給你的預(yù)計(jì)耗時(shí)會(huì)因?yàn)槟氵x現(xiàn)在出發(fā)還是明早八點(diǎn)出發(fā)而差出一大截。路還是那條路變的是前提。CVSS 把這層前提顯式拆開了。規(guī)范開頭第一句就把指標(biāo)分成四組CVSS consists of four metric groups: Base, Threat, Environmental, and Supplemental.譯過(guò)來(lái)就是 Base、Threat、Environmental、Supplemental 四組。CVSS-1這四組的區(qū)別不在重要程度而在這些假設(shè)在什么范圍內(nèi)成立。Base 描述的是不隨時(shí)間變、也不隨使用者環(huán)境變的那部分性質(zhì)Threat 描述會(huì)隨時(shí)間變的那部分Environmental 描述只跟你自己的環(huán)境有關(guān)的那部分Supplemental 是補(bǔ)充說(shuō)明規(guī)范明確寫了它不改變最終分?jǐn)?shù)。CVSS-2所以用哪一組假設(shè)算的這句話落到實(shí)處就是用了哪幾組指標(biāo)。只拿 Base 算出來(lái)的數(shù)和 Base 疊加 Threat、Environmental 之后算出來(lái)的數(shù)本來(lái)就是兩個(gè)不同的數(shù)。它們誰(shuí)也不比誰(shuí)更真它們各自對(duì)應(yīng)一套前提。1.3 這篇只教讀不教打分下面七章只干一件事讓你看見公告里那串由斜杠拼起來(lái)的東西時(shí)知道它說(shuō)了什么、以及它沒(méi)說(shuō)什么。有三件事本文不做。第一不教你怎么給一個(gè)漏洞打分——那需要你手里有資產(chǎn)、有威脅情報(bào)、有業(yè)務(wù)判斷不是讀一篇文章能學(xué)會(huì)的。第二不碰任何真實(shí)的漏洞實(shí)例通篇不給編號(hào)、不給分?jǐn)?shù)因?yàn)槠脚_(tái)實(shí)例頁(yè)本次沒(méi)有抓取核對(duì)任何某漏洞在某平臺(tái)是多少分的寫法都會(huì)變成編造CVSS-15待驗(yàn)證。第三不寫復(fù)現(xiàn)——本文全程只對(duì)著公告的文字較勁。你只要記住開頭這一句后面全是它的展開分?jǐn)?shù)不是漏洞的屬性是某一組假設(shè)下算出來(lái)的一個(gè)數(shù)。補(bǔ)一句出處本文對(duì)照的兩份規(guī)范都來(lái)自 FIRST 官網(wǎng)v4.0 那份的文檔版本號(hào)是 1.2核對(duì)日期為 2026-10-24。二、那串斜杠向量串的結(jié)構(gòu)2.1 開頭那段是標(biāo)簽不是指標(biāo)公告里那串東西正式名字叫向量串。它長(zhǎng)這樣開頭CVSS:4.0/。規(guī)范對(duì)它的定義是The CVSS v4.0 vector string begins with the label ‘CVSS:’ and a numeric representation of the current version, ‘4.0’.也就是說(shuō)第一段CVSS:4.0只回答一個(gè)問(wèn)題這是哪一版的記法。CVSS-3別小看這一段。它決定了后面所有段該怎么念。CVSS:3.1/開頭的那串指標(biāo)名字和取值范圍跟 4.0 不是一套你把兩串并排放著肉眼看著都是斜杠加字母實(shí)際是兩種語(yǔ)言。第六章會(huì)把這兩套語(yǔ)言逐項(xiàng)對(duì)上。2.2 順序固定Base 一項(xiàng)都不能少向量串里段的順序不是習(xí)慣問(wèn)題是合法性問(wèn)題。同一段規(guī)范接著寫A vector string must contain metrics in the order shown in Table 23, every other ordering is invalid. All Base metrics must be included兩句話兩個(gè)硬約束順序按規(guī)范里那張表來(lái)?yè)Q成別的順序就是無(wú)效串Base 那幾項(xiàng)必須全部出現(xiàn)。CVSS-3這兩個(gè)約束帶來(lái)一個(gè)很實(shí)用的推論串的長(zhǎng)度和段的排列本身就是信息。你不需要記住每個(gè)字母的含義只要看它是不是按規(guī)范順序排的、Base 是不是齊的就能判斷這條串能不能拿來(lái)跟別人比。排錯(cuò)順序的串、缺 Base 項(xiàng)的串都不該進(jìn)你的對(duì)比表。下面這兩串只是記法示意不對(duì)應(yīng)任何真實(shí)漏洞也不帶分?jǐn)?shù)CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H第一行是 4.0 的寫法第二行是 3.1 的寫法?？吹贸霾钤谀膯?.0 那行最后多了三項(xiàng)SC/SI/SA中間多了AT而 3.1 那行有一個(gè)S。這些差異不是排版是第六章要講的結(jié)構(gòu)性區(qū)別。想把段的順序擺到眼前最笨也最有效的辦法是把斜杠換掉。本機(jī)沒(méi)有裝任何 CVSS 工具下面兩條都沒(méi)有實(shí)際跑過(guò)??代碼待驗(yàn)證grep-oCVSS:4\.0/[^ ]*advisory.txt這行只是從一份文本里把向量串原樣撈出來(lái)。它不判斷對(duì)錯(cuò)只負(fù)責(zé)把那一串斜杠從一堆描述文字里拎出來(lái)。??代碼待驗(yàn)證grep-oCVSS:4\.0/[^ ]*advisory.txt|tr/\n|nl第二行把斜杠換成換行再編號(hào)一段占一行順序?qū)Σ粚?duì)一眼就能看出來(lái)。這兩條命令都寫在隔離環(huán)境的文本文件上沒(méi)有連接任何外部服務(wù)。2.3 省略的項(xiàng)按 X 處理X 不是零Base 必填所以省略這件事主要發(fā)生在 Base 之外的那幾組上。規(guī)范對(duì)這種省略有明確規(guī)定omitted metrics are considered to have the value of Not Defined (X)省掉的指標(biāo)按未定義X處理。CVSS-4這一句最容易被讀歪。X 不是 0不是最輕也不是最重它的意思是這一項(xiàng)沒(méi)有給出判斷。把它當(dāng)成最低值你會(huì)系統(tǒng)性低估把它當(dāng)成最高值你會(huì)系統(tǒng)性高估。兩種都錯(cuò)。它也解釋了一類平臺(tái)差異同一個(gè)漏洞一邊把某一項(xiàng)填了具體值另一邊留了 X。兩邊的串看起來(lái)只差幾個(gè)字母可它們對(duì)我們知道什么的坦白程度不一樣。讀串的時(shí)候順手看一眼有沒(méi)有 X比記住每個(gè)字母的含義更有用。三、四組指標(biāo)各管什么3.1 Base不隨時(shí)間、不隨環(huán)境變的那層底子Base 的定義是內(nèi)在性質(zhì)規(guī)范的原話是它c(diǎn)onstant over time and across user environments——不隨時(shí)間變也不隨使用者的環(huán)境變。CVSS-2它由五個(gè)描述攻擊這件事有多難的指標(biāo)加上兩套描述打穿之后影響多大的指標(biāo)構(gòu)成。五個(gè)指標(biāo)各自的含義規(guī)范是這么說(shuō)的CVSS-5AV攻擊者能多遠(yuǎn)地夠到這個(gè)漏洞。規(guī)范的說(shuō)法是攻擊者在邏輯上和物理上離得越遠(yuǎn)這個(gè)值越大。AC攻擊者為了繞開系統(tǒng)里已有的安全增強(qiáng)條件必須主動(dòng)做多少可測(cè)量的動(dòng)作。AT部署與執(zhí)行上的前置條件也就是這漏洞要成立環(huán)境里得先滿足哪些條件。PR攻擊者在成功利用之前手上得先有多少權(quán)限。UI除了攻擊者之外還得有一個(gè)真人參與。看清這五項(xiàng)的共同點(diǎn)它們問(wèn)的都是要打成得先滿足什么。AV 問(wèn)距離AC 問(wèn)要不要主動(dòng)繞AT 問(wèn)環(huán)境前提PR 問(wèn)已有權(quán)限UI 問(wèn)有沒(méi)有別人幫忙。這是同一件事的五個(gè)側(cè)面不是五種不同的嚴(yán)重程度。影響面則分成兩套may include impact on the vulnerable system and/or the downstream impact on what is formally called the ‘subsequent system(s)’一套是被攻陷的那臺(tái)系統(tǒng)另一套是它后面被牽連的系統(tǒng)。規(guī)范還補(bǔ)了一句沒(méi)有外溢的時(shí)候后面那三項(xiàng)留 N。CVSS-63.2 Threat 與 Environmental會(huì)變的和隨你家環(huán)境變的Base 之外的兩組分的是兩種變。Threat 管的是隨時(shí)間變的那部分change over time。同一個(gè)漏洞上個(gè)月和這個(gè)月公開程度、利用的活躍度、有沒(méi)有可用的緩解手段都可能不同這部分不該被釘死在漏洞的固有屬性里。Environmental 管的是只跟你自己環(huán)境有關(guān)的那部分unique to a user’s environment。同一份代碼跑在你筆記本的容器里和跑在機(jī)房核心區(qū)前面有幾層隔離、后面掛著什么數(shù)據(jù)完全不是一回事。這部分只有使用方自己填得出來(lái)。這兩組的區(qū)別值得單獨(dú)記一句Threat 是大家都看得到、但會(huì)過(guò)期的信息Environmental 是只有你知道、也不會(huì)過(guò)期的信息。3.3 Supplemental唯一明說(shuō)不改分的一組第四組最容易被誤會(huì)。Supplemental 聽起來(lái)像補(bǔ)充加分項(xiàng)但規(guī)范寫得很清楚這組指標(biāo)do not modify the final score不修改最終分?jǐn)?shù)。CVSS-2它攜帶的是給人讀的上下文不是給公式用的輸入。所以看到一串向量里帶著補(bǔ)充項(xiàng)別指望它把分?jǐn)?shù)推高或壓低——它對(duì)數(shù)字沒(méi)有作用。把四組擺在一起分工就清楚了指標(biāo)組它描述什么誰(shuí)填會(huì)不會(huì)改最終分Base不隨時(shí)間、不隨環(huán)境變的內(nèi)在性質(zhì)公告分析人員、產(chǎn)品廠商、應(yīng)用廠商會(huì)Threat隨時(shí)間變化的那部分使用方組織會(huì)Environmental只與使用者環(huán)境有關(guān)的那部分使用方組織會(huì)Supplemental補(bǔ)充上下文規(guī)范引言未點(diǎn)名不會(huì)表里誰(shuí)填這一列依據(jù)是規(guī)范引言的兩句話Base 由漏洞公告分析人員、產(chǎn)品廠商或應(yīng)用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這一列是全文的樞紐。它說(shuō)明了一件事**同一個(gè)漏洞的分?jǐn)?shù)不一樣往往是因?yàn)樘畋淼娜苏驹诓煌奈恢蒙稀?*廠商填的是自己的產(chǎn)品使用方填的是自己的環(huán)境兩邊看到的世界本來(lái)就不一樣。四、分?jǐn)?shù)是查表加插值不是四則運(yùn)算4.1 規(guī)范自己怎么描述這個(gè)計(jì)算很多人以為 CVSS 是一套加權(quán)公式每項(xiàng)給個(gè)系數(shù)乘一乘加一加出個(gè)小數(shù)。規(guī)范不是這么寫的vectors are clustered in sets called MacroVectorsThe score of a MacroVector is defined by a lookup table … The score of a vector within each MacroVector is defined by interpolation.先把向量按幾個(gè)關(guān)鍵指標(biāo)聚成宏向量每個(gè)宏向量的分?jǐn)?shù)由一張查找表定義同一個(gè)宏向量?jī)?nèi)部各條向量的分?jǐn)?shù)由插值定義。CVSS-7翻成人話歸類查表再在表里的基準(zhǔn)點(diǎn)之間按比例挪一點(diǎn)。整個(gè)過(guò)程里沒(méi)有每項(xiàng)乘以權(quán)重再求和這一步。4.2 這條事實(shí)能擋掉三類錯(cuò)誤推理第一類**“把某一項(xiàng)從低改到高分?jǐn)?shù)一定漲一個(gè)固定值?！?*不成立。插值是分段做的同樣改一格落在不同的宏向量里挪動(dòng)的幅度可以差很遠(yuǎn)。第二類**“兩條串只差一個(gè)字母分?jǐn)?shù)應(yīng)該差不多?！?*也不成立。差的那一格如果剛好把向量挪進(jìn)了另一個(gè)宏向量落點(diǎn)就換了一張表。反過(guò)來(lái)兩條看起來(lái)差好幾個(gè)字母的串也可能落在同一格里插值之后差距很小。第三類**“我自己按權(quán)重算一遍能復(fù)現(xiàn)公告上的數(shù)。”**復(fù)現(xiàn)不了。除非你手里有那張查找表和插值規(guī)則否則算出來(lái)的只是另一個(gè)數(shù)。網(wǎng)上那些所謂計(jì)算器本質(zhì)都是把這兩樣?xùn)|西實(shí)現(xiàn)了一遍不是把公式抄了一遍——因?yàn)楣讲⒉淮嬖?。這一節(jié)的用處不是讓你會(huì)算而是讓你放棄從單個(gè)字母反推分?jǐn)?shù)的念頭。看到這一項(xiàng)升了一檔分?jǐn)?shù)怎么只漲這么點(diǎn)這種疑問(wèn)答案往往就在宏向量的歸類上而不在任何一項(xiàng)的權(quán)重上。4.3 檔位是另一張表而且是可選的數(shù)字之外公告里還會(huì)給一個(gè)定性檔位。規(guī)范給了一張對(duì)照表CVSS-10定性檔位對(duì)應(yīng)的分?jǐn)?shù)區(qū)間None0.0Low0.1–3.9Medium4.0–6.9High7.0–8.9Critical9.0–10.0這張表是量表不是任何一個(gè)漏洞的分?jǐn)?shù)別拿它當(dāng)例子用。同一段規(guī)范還有一句容易被跳過(guò)的話「The use of these qualitative severity ratings is optional」——用不用這套定性檔位是可選的。CVSS-10這句話解釋了一個(gè)常見困惑為什么有的公告只給數(shù)字不給檔位有的給檔位但用的詞跟這張表對(duì)不上。因?yàn)闄n位是規(guī)范提供的便利不是強(qiáng)制輸出?？吹礁呶?yán)重這類詞先確認(rèn)它是 CVSS 的檔位還是發(fā)布方自己那套分級(jí)兩者同名不同義的情況并不少見。順便說(shuō)一句檔位這套東西在 3.1 和 4.0 之間沒(méi)有改動(dòng)兩邊是同一張表。CVSS-13這件事后面還會(huì)用到——它意味著高危這個(gè)詞的含義沒(méi)變變的只是算出數(shù)字的那套問(wèn)法。五、為什么兩個(gè)平臺(tái)不一樣5.1 誰(shuí)填哪組兩份不同的作業(yè)第三章那張表里誰(shuí)填這一列是全文的樞紐這一章先把它說(shuō)透。規(guī)范引言把填表的責(zé)任分給了兩類人the Base metrics are specified by vulnerability bulletin analysts, product vendors, or application vendorsThe Threat and Environmental metrics are specified by consumer organizationsBase 由公告分析人員、產(chǎn)品廠商、應(yīng)用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這個(gè)分工不是行政安排是信息可得性決定的。廠商知道自己產(chǎn)品里那段代碼怎么寫的卻不知道你把它部署在哪、前面有幾層網(wǎng)關(guān)、后面掛著什么庫(kù)使用方正好相反。兩邊都只能填自己看得見的那一半。于是兩個(gè)平臺(tái)分?jǐn)?shù)不同的第一種解釋就出來(lái)了**它們?cè)谔顑煞莶煌淖鳂I(yè)。**一個(gè)站給的是廠商視角的 Base 分另一個(gè)站補(bǔ)上了自己那套威脅與環(huán)境判斷。前者不是錯(cuò)的它只是回答得少一些。這里有個(gè)容易踩的坑把分?jǐn)?shù)高的那個(gè)當(dāng)成更權(quán)威。分?jǐn)?shù)高低跟權(quán)威性沒(méi)關(guān)系跟這套假設(shè)有多貼合你的場(chǎng)景才有關(guān)系。如果補(bǔ)了 Environmental 的那個(gè)站它的環(huán)境假設(shè)跟你的環(huán)境不像它的數(shù)對(duì)你反而更沒(méi)用。5.2 命名法B / BT / BE / BTE規(guī)范給了四個(gè)寫法專門標(biāo)明這個(gè)數(shù)是哪幾組算的CVSS-B Base metrics; CVSS-BE Base and Environmental metrics; CVSS-BT Base and Threat metrics; CVSS-BTE Base, Threat, Environmental metricsCVSS-8四個(gè)后綴其實(shí)就是把用到的組名首字母拼在一起寫法用了哪幾組通常誰(shuí)給能不能直接比CVSS-B只有 Base廠商、公告分析人員只能跟同為 B 的比CVSS-BTBase 加 Threat有威脅情報(bào)的使用方只能跟同一時(shí)間窗的 BT 比CVSS-BEBase 加 Environmental有資產(chǎn)清單的使用方只在自己組織內(nèi)部有意義CVSS-BTEBase、Threat、Environmental做完整評(píng)估的使用方出不了自己組織的門這張表最該記住的是最后一列。BE 和 BTE 是給自己看的數(shù)它把你家的隔離層數(shù)、數(shù)據(jù)敏感度、暴露面都算進(jìn)去了這些前提別人沒(méi)有所以別人既復(fù)現(xiàn)不了也不該拿它跟自己的數(shù)比。還有一點(diǎn)Supplemental 不在任何一個(gè)后綴里。這跟第三章那條對(duì)得上——它不改分自然也就不進(jìn)命名?？吹椒?jǐn)?shù)先找后綴這個(gè)習(xí)慣能省掉很多爭(zhēng)論。沒(méi)有后綴的按上下文判斷它至少是 Base-only有后綴的先看那個(gè)后綴跟你手里那個(gè)數(shù)是不是同一套。5.3 第三種可能CVSS 只是風(fēng)險(xiǎn)的輸入還有一類不一致根本不在分?jǐn)?shù)上而在用途上。規(guī)范對(duì) CVSS 的定位寫得很克制Consumers may use CVSS information as input to an organizational vulnerability management process that also considers factors that are not part of CVSS它是輸入不是結(jié)論。規(guī)范緊接著列了一串不在 CVSS 范圍內(nèi)的因素包括監(jiān)管要求、受影響的客戶數(shù)量、金錢損失、生命與財(cái)產(chǎn)、聲譽(yù)。CVSS-11這串東西沒(méi)有一項(xiàng)塞得進(jìn)向量串。所以這個(gè)漏洞要不要今晚加班修這個(gè)問(wèn)題CVSS 答不了它能答的只是在這組假設(shè)下技術(shù)面有多重。于是兩個(gè)平臺(tái)的分歧還有第三種來(lái)源一個(gè)在給你技術(shù)評(píng)分另一個(gè)在給你處置建議兩者背后的假設(shè)根本不是一回事。拿建議去跟分?jǐn)?shù)比屬于跨物種比較。這份「四組指標(biāo) 四個(gè)后綴」的對(duì)照我壓成了一頁(yè)速查跟下面這個(gè)碼放在一起了六、v3.1 和 v4.0 對(duì)著看6.1 三組變四組老公告和新公告分?jǐn)?shù)不同很多人第一反應(yīng)是平臺(tái)偷偷改了算法。更常見的情況是它們用的根本不是同一版規(guī)范。v3.1 的組數(shù)是三組CVSS consists of three metric groups: Base, Temporal, and Environmental.Base、Temporal、Environmental。CVSS-12到了 4.0 變成四組多出一個(gè) Supplemental而會(huì)隨時(shí)間變的那部分在 4.0 里叫 Threat。CVSS-1組數(shù)一變“同一組假設(shè)這句話的含義就變了。3.1 里你把三組填滿跟 4.0 里你把 Base 填滿看著都是填完了”覆蓋的范圍不一樣。6.2 影響指標(biāo)一個(gè)開關(guān)拆成兩套這是兩版之間最大的一處結(jié)構(gòu)差別。v3.1 的 Base 是 AV、AC、PR、UI、S、C、I、A 八項(xiàng)。CVSS-12其中 S 是一個(gè)范圍開關(guān)用來(lái)區(qū)分影響留在被攻陷的那臺(tái)系統(tǒng)內(nèi)還是溢出到了后續(xù)系統(tǒng)。4.0 把這個(gè)開關(guān)拆了換成兩套并列的影響指標(biāo)VC、VI、VA 描述被攻陷的系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)。CVSS-14CVSS-6v3.1 Base: AV / AC / PR / UI / S / C / I / A v4.0 Base: AV / AC / AT / PR / UI / VC / VI / VA / SC / SI / SA上面兩行不是命令是項(xiàng)數(shù)對(duì)照。一眼能看出兩件事3.1 是八項(xiàng)4.0 是十一項(xiàng)4.0 那行多出來(lái)的AT和最后三項(xiàng)正好對(duì)應(yīng)新增一項(xiàng)前置條件和影響面拆成兩套。這個(gè)改動(dòng)帶來(lái)的直接后果是**同一個(gè)判斷在新舊兩版里要填的格子數(shù)不一樣。**在 3.1 里用一個(gè) S 就能表達(dá)的意思到 4.0 得拆到六項(xiàng)影響指標(biāo)上其中三項(xiàng)專門描述后續(xù)系統(tǒng)每一項(xiàng)都有判斷余地判斷余地就是分?jǐn)?shù)差異的來(lái)源。所以老公告和新公告不一樣的另一半答案在這里不全是平臺(tái)立場(chǎng)問(wèn)題記法換代本身就換了問(wèn)法。6.3 UI 三值、新增 AT檔位沒(méi)動(dòng)還有兩處小改動(dòng)影響不算小。第一處是 UI。3.1 的 UI 是兩個(gè)值4.0 變成三個(gè)值。CVSS-14多出來(lái)的那一檔意味著要有人參與不再是非黑即白有些情形放在舊記法里只能二選一免不了要往某一頭靠。第二處是 AT全稱 Attack Requirements4.0 新增。它跟 AC 的分工要分清AC 問(wèn)的是攻擊者得主動(dòng)做多少動(dòng)作去繞開已有防護(hù)AT 問(wèn)的是環(huán)境里得先具備哪些部署與執(zhí)行條件。CVSS-5一個(gè)是要?jiǎng)邮肿鍪裁匆粋€(gè)是得先有什么。把這幾處跟第四章那條連起來(lái)看還有一條別忘定性檔位兩張表一樣五個(gè)檔位、區(qū)間都沒(méi)改。CVSS-13所以高危這個(gè)詞的含金量沒(méi)變變的是算出數(shù)字的問(wèn)法?？吹叫鹿娴臋n位跟老公告一樣不代表內(nèi)容沒(méi)變。對(duì)比項(xiàng)v3.1v4.0指標(biāo)組三組Base、Temporal、Environmental四組Base、Threat、Environmental、SupplementalBase 項(xiàng)數(shù)八項(xiàng)十一項(xiàng)性狀指標(biāo)AV、AC、PR、UIAV、AC、AT、PR、UI影響指標(biāo)S 一個(gè)范圍開關(guān)加 C、I、AVC、VI、VA 描述被攻陷系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)用戶交互 UI兩個(gè)值三個(gè)值部署前置條件沒(méi)有單獨(dú)一項(xiàng)新增 AT不改分的補(bǔ)充組沒(méi)有這一組有 Supplemental明說(shuō)不改分命名法未見這套后綴本文未核到對(duì)應(yīng)寫法CVSS-B / BT / BE / BTE定性檔位五檔五檔與 v3.1 相同七、讀公告的四步7.1 四步拿到一串向量按這個(gè)順序過(guò)一遍比逐個(gè)字母查詞典快得多。認(rèn)版本。串頭是CVSS:3.1/還是CVSS:4.0/。版本認(rèn)錯(cuò)后面每個(gè)字母的含義都會(huì)錯(cuò)位?？?Base 齊不齊、順序?qū)Σ粚?duì)。Base 缺項(xiàng)、順序被打亂的串按規(guī)范是無(wú)效串別拿去跟任何東西比。CVSS-3找后綴或者看有沒(méi)有 Threat 與 Environmental 的值。這一步?jīng)Q定你手里是 CVSS-B 還是 CVSS-BTE。CVSS-8判斷能不能比。同版本、同組、同假設(shè)三個(gè)條件都滿足才叫可比。第三步最容易被跳過(guò)。很多人拿到分?jǐn)?shù)就直奔結(jié)論根本沒(méi)注意手里那個(gè)數(shù)是 B 還是 BTE于是把廠商視角和自家視角的兩個(gè)數(shù)放進(jìn)一張表排名次——這張表從第一行起就沒(méi)有意義。7.2 三個(gè)不該做的比較跨版本比。3.1 和 4.0 的 Base 項(xiàng)數(shù)、影響指標(biāo)寫法都不一樣兩個(gè)數(shù)不是同一把尺子量出來(lái)的。要比先比問(wèn)法再談數(shù)字?？缃M比。CVSS-B 跟 CVSS-BTE 的差別不是精度差別是假設(shè)范圍的差別。一個(gè)只算了內(nèi)在性質(zhì)一個(gè)把威脅態(tài)勢(shì)和你家環(huán)境都算了進(jìn)去這兩個(gè)數(shù)的大小關(guān)系說(shuō)明不了任何事。拿 CVSS 當(dāng)處置優(yōu)先級(jí)。它只是輸入。CVSS-11同樣一個(gè)數(shù)落在核心庫(kù)上和在測(cè)試機(jī)上該做的事完全不同這不是 CVSS 的缺陷是它刻意留出的邊界。順帶說(shuō)一條自查用的小命令。本機(jī)沒(méi)有裝任何 CVSS 相關(guān)工具下面這條沒(méi)有實(shí)際跑過(guò)??代碼待驗(yàn)證grep-oCVSS:[0-9.]*/advisory.txt|sort|uniq-c它做的事很樸素把一份公告里出現(xiàn)過(guò)的版本標(biāo)簽都數(shù)一遍。如果同一份公告里既有 3.1 又有 4.0 的串說(shuō)明發(fā)布方在不同時(shí)間點(diǎn)補(bǔ)過(guò)數(shù)據(jù)你手里的兩串可能壓根不是同一輪評(píng)估的產(chǎn)物。7.3 回到那兩張截圖那個(gè)學(xué)弟的問(wèn)題現(xiàn)在可以拆成三問(wèn)這兩個(gè)數(shù)是哪一版規(guī)范算的各自用了哪幾組指標(biāo)是誰(shuí)填的三問(wèn)答完多半會(huì)發(fā)現(xiàn)兩個(gè)數(shù)根本不構(gòu)成矛盾——一個(gè)答的是這個(gè)漏洞本身有多重另一個(gè)答的是在這套威脅形勢(shì)與環(huán)境假設(shè)下有多重。它們不是對(duì)同一個(gè)問(wèn)題的兩種答案是兩個(gè)問(wèn)題各自的答案。真正需要警惕的是另一種情況兩個(gè)數(shù)看起來(lái)可比實(shí)際不可比而你又拿它做了決定。向量串的價(jià)值就在這兒——它把這個(gè)數(shù)是在什么前提下算的寫在了明面上只要你肯讀那串斜杠就不容易被一個(gè)孤零零的數(shù)字帶走。第七章這四步我做成了可以對(duì)著公告逐條勾的檢查表附表 A本文引用事實(shí)與官方出處對(duì)照表序號(hào)事實(shí)出處本文位置1CVSS 由四組指標(biāo)構(gòu)成Base、Threat、Environmental、Supplemental逐字FIRST《CVSS v4.0 Specification Document》引言Document Version 1.2第一章 1.2、第三章 3.1–3.32四組分工Base 不隨時(shí)間與環(huán)境變Threat 隨時(shí)間變Environmental 隨使用者環(huán)境Supplemental 不改最終分逐字同上引言第一章 1.2、第三章 3.1–3.33向量串以CVSS:加版本號(hào)開頭逐字同上§2第二章 2.14指標(biāo)須按規(guī)范表格順序出現(xiàn)其他順序無(wú)效Base 指標(biāo)必須全部包含逐字同上§2第二章 2.2、第七章 7.15省略的指標(biāo)按 Not DefinedX處理逐字同上§2第二章 2.36Base 五個(gè)性狀指標(biāo) AV/AC/AT/PR/UI 各自的定義逐字要點(diǎn)同上§2第三章 3.1、第六章 6.37影響指標(biāo)可含被攻陷系統(tǒng)與后續(xù)系統(tǒng)兩套無(wú)外溢時(shí)后續(xù)三項(xiàng)留 N逐字同上§2第三章 3.1、第六章 6.28向量聚為 MacroVector宏向量分?jǐn)?shù)由查找表定義組內(nèi)由插值定義逐字同上§7.1、§8第四章 4.1、4.29命名法 CVSS-B / BT / BE / BTE 四種寫法逐字同上引言第五章 5.2、第七章 7.110Base 由公告分析人員、廠商給出Threat 與 Environmental 由使用方組織給出逐字同上引言第三章 3.3、第五章 5.111定性檔位五檔及區(qū)間該檔位的使用是可選的逐字同上§5 Table 22第四章 4.312CVSS 是組織漏洞管理流程的輸入監(jiān)管要求、客戶數(shù)、金錢損失、生命財(cái)產(chǎn)、聲譽(yù)等不在其范圍內(nèi)逐字同上引言第五章 5.3、第七章 7.213v3.1 為三組Base、Temporal、EnvironmentalBase 含 AV/AC/PR/UI/S/C/I/A逐字FIRST《CVSS v3.1 Specification Document》引言、§1.1第六章 6.1、6.214v3.1 與 v4.0 的定性檔位一致同為五檔同區(qū)間v3.1 文檔 §5 Table 14v4.0 文檔 §5 Table 22第四章 4.3、第六章 6.315v4.0 以 VC/VI/VA SC/SI/SA 替代 S/C/I/A新增 ATUI 由兩值變?nèi)祻?fù)合條目由 CVSS-5、CVSS-6、CVSS-12 的取值表推出屬結(jié)構(gòu)性差異第六章 6.2、6.316Base 項(xiàng)數(shù) v3.1 為八項(xiàng)、v4.0 為十一項(xiàng)由第 6、13 行的指標(biāo)清單直接計(jì)數(shù)得出非規(guī)范原文表述第六章 6.2、6.317待驗(yàn)證具體漏洞在不同平臺(tái)上的分?jǐn)?shù)差異實(shí)例本次未抓 NVD 與廠商公告實(shí)例頁(yè)故全文不給編號(hào)、不給分?jǐn)?shù)本文未核到第一章 1.318待驗(yàn)證本機(jī)未安裝任何 CVSS 計(jì)算或查詢工具全部命令塊未實(shí)際運(yùn)行本機(jī)核對(duì)2026-10-24第二、七章代碼塊附表 B術(shù)語(yǔ)速查表術(shù)語(yǔ)一句話解釋向量串用斜杠把各指標(biāo)取值拼起來(lái)的一行字符串是分?jǐn)?shù)的輸入記錄指標(biāo)組按假設(shè)適用范圍劃分的四類指標(biāo)Base、Threat、Environmental、SupplementalBase描述漏洞內(nèi)在性質(zhì)不隨時(shí)間與使用者環(huán)境變化Threat描述會(huì)隨時(shí)間變化的威脅態(tài)勢(shì)由使用方填寫Environmental描述只與使用者自身環(huán)境有關(guān)的因素Supplemental補(bǔ)充上下文規(guī)范明寫不修改最終分?jǐn)?shù)宏向量MacroVector按關(guān)鍵指標(biāo)把向量聚成的集合分?jǐn)?shù)先按集合查表插值在同一宏向量?jī)?nèi)按偏離程度在基準(zhǔn)點(diǎn)之間取分CVSS-B只用 Base 指標(biāo)算出的分CVSS-BTBase 加 Threat 算出的分CVSS-BEBase 加 Environmental 算出的分CVSS-BTEBase、Threat、Environmental 三組算出的分XNot Defined省略指標(biāo)時(shí)的默認(rèn)取值意思是未給出判斷既非最低也非最高定性檔位None / Low / Medium / High / Critical 五檔區(qū)間固定是否采用由發(fā)布方?jīng)Q定可比性同版本、同指標(biāo)組、同假設(shè)三個(gè)條件同時(shí)滿足兩個(gè)數(shù)才談得上比較寫在最后這篇用到的資料寫這篇文章時(shí)我把 v4.0 和 v3.1 兩份規(guī)范的指標(biāo)表并排對(duì)了一遍最費(fèi)勁的是確認(rèn)分?jǐn)?shù)到底怎么算——規(guī)范寫的是查表加插值不是加權(quán)求和這一點(diǎn)決定了后面所有推理的方向順手也整理了幾份配套的東西靶場(chǎng)環(huán)境對(duì)照表DVWA、upload-labs 在 Windows / macOS / Linux 三平臺(tái)的可行性與推薦路徑Web 安全學(xué)習(xí)路線圖從基礎(chǔ)打牢到安全管理四個(gè)階段各學(xué)什么常用靶場(chǎng)清單每個(gè)靶場(chǎng)練什么、適合哪個(gè)階段資料是我自己整理的放在下面這個(gè)碼上掃碼即可獲取添加時(shí)備注「靶場(chǎng)」優(yōu)先通過(guò)。拿到之后建議先看環(huán)境對(duì)照表那一份先把靶機(jī)跟宿主機(jī)隔開再回去對(duì)著公告讀那串斜杠——順序?qū)Σ粚?duì)、Base 齊不齊比記分?jǐn)?shù)有用。