不同：CVSS 向量怎么讀)
授權(quán)與合規(guī)聲明本文全部操作對象均為自建隔離靶場本機容器或隔離虛擬機涉及安全測試的環(huán)節(jié)必須以取得合法授權(quán)為前提。未經(jīng)授權(quán)的滲透測試違反《中華人民共和國網(wǎng)絡安全法》與《刑法》相關(guān)條款須承擔相應法律責任。本文只講環(huán)境配置、版本對照與靶場隔離不含任何攻擊步驟、利用載荷與繞過手法請勿將文中環(huán)境指向任何非自有系統(tǒng)。一、同一個漏洞兩個平臺兩個數(shù)1.1 兩張截圖的差別一個學弟發(fā)來兩張截圖。同一個漏洞他在兩個站點各查了一次一個給的分數(shù)明顯比另一個高一截。他問是不是有一個站算錯了。這個問題問得對但答案大概率是兩個都沒算錯。分數(shù)不一樣最常見的成因不是誰算錯了而是兩邊回答的根本不是同一個問題。一邊答的是這個漏洞本身有多重另一邊答的是這個漏洞在你這套環(huán)境里、按現(xiàn)在的威脅形勢有多重。問題換了數(shù)自然跟著換。1.2 分數(shù)是「某一組假設(shè)下算出來的數(shù)」打個比方同一段路導航給你的預計耗時會因為你選現(xiàn)在出發(fā)還是明早八點出發(fā)而差出一大截。路還是那條路變的是前提。CVSS 把這層前提顯式拆開了。規(guī)范開頭第一句就把指標分成四組CVSS consists of four metric groups: Base, Threat, Environmental, and Supplemental.譯過來就是 Base、Threat、Environmental、Supplemental 四組。CVSS-1這四組的區(qū)別不在重要程度而在這些假設(shè)在什么范圍內(nèi)成立。Base 描述的是不隨時間變、也不隨使用者環(huán)境變的那部分性質(zhì)Threat 描述會隨時間變的那部分Environmental 描述只跟你自己的環(huán)境有關(guān)的那部分Supplemental 是補充說明規(guī)范明確寫了它不改變最終分數(shù)。CVSS-2所以用哪一組假設(shè)算的這句話落到實處就是用了哪幾組指標。只拿 Base 算出來的數(shù)和 Base 疊加 Threat、Environmental 之后算出來的數(shù)本來就是兩個不同的數(shù)。它們誰也不比誰更真它們各自對應一套前提。1.3 這篇只教讀不教打分下面七章只干一件事讓你看見公告里那串由斜杠拼起來的東西時知道它說了什么、以及它沒說什么。有三件事本文不做。第一不教你怎么給一個漏洞打分——那需要你手里有資產(chǎn)、有威脅情報、有業(yè)務判斷不是讀一篇文章能學會的。第二不碰任何真實的漏洞實例通篇不給編號、不給分數(shù)因為平臺實例頁本次沒有抓取核對任何某漏洞在某平臺是多少分的寫法都會變成編造CVSS-15待驗證。第三不寫復現(xiàn)——本文全程只對著公告的文字較勁。你只要記住開頭這一句后面全是它的展開分數(shù)不是漏洞的屬性是某一組假設(shè)下算出來的一個數(shù)。補一句出處本文對照的兩份規(guī)范都來自 FIRST 官網(wǎng)v4.0 那份的文檔版本號是 1.2核對日期為 2026-10-24。二、那串斜杠向量串的結(jié)構(gòu)2.1 開頭那段是標簽不是指標公告里那串東西正式名字叫向量串。它長這樣開頭CVSS:4.0/。規(guī)范對它的定義是The CVSS v4.0 vector string begins with the label ‘CVSS:’ and a numeric representation of the current version, ‘4.0’.也就是說第一段CVSS:4.0只回答一個問題這是哪一版的記法。CVSS-3別小看這一段。它決定了后面所有段該怎么念。CVSS:3.1/開頭的那串指標名字和取值范圍跟 4.0 不是一套你把兩串并排放著肉眼看著都是斜杠加字母實際是兩種語言。第六章會把這兩套語言逐項對上。2.2 順序固定Base 一項都不能少向量串里段的順序不是習慣問題是合法性問題。同一段規(guī)范接著寫A vector string must contain metrics in the order shown in Table 23, every other ordering is invalid. All Base metrics must be included兩句話兩個硬約束順序按規(guī)范里那張表來換成別的順序就是無效串Base 那幾項必須全部出現(xiàn)。CVSS-3這兩個約束帶來一個很實用的推論串的長度和段的排列本身就是信息。你不需要記住每個字母的含義只要看它是不是按規(guī)范順序排的、Base 是不是齊的就能判斷這條串能不能拿來跟別人比。排錯順序的串、缺 Base 項的串都不該進你的對比表。下面這兩串只是記法示意不對應任何真實漏洞也不帶分數(shù)CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H第一行是 4.0 的寫法第二行是 3.1 的寫法?？吹贸霾钤谀膯?.0 那行最后多了三項SC/SI/SA中間多了AT而 3.1 那行有一個S。這些差異不是排版是第六章要講的結(jié)構(gòu)性區(qū)別。想把段的順序擺到眼前最笨也最有效的辦法是把斜杠換掉。本機沒有裝任何 CVSS 工具下面兩條都沒有實際跑過??代碼待驗證grep-oCVSS:4\.0/[^ ]*advisory.txt這行只是從一份文本里把向量串原樣撈出來。它不判斷對錯只負責把那一串斜杠從一堆描述文字里拎出來。??代碼待驗證grep-oCVSS:4\.0/[^ ]*advisory.txt|tr/\n|nl第二行把斜杠換成換行再編號一段占一行順序?qū)Σ粚σ谎劬湍芸闯鰜?。這兩條命令都寫在隔離環(huán)境的文本文件上沒有連接任何外部服務。2.3 省略的項按 X 處理X 不是零Base 必填所以省略這件事主要發(fā)生在 Base 之外的那幾組上。規(guī)范對這種省略有明確規(guī)定omitted metrics are considered to have the value of Not Defined (X)省掉的指標按未定義X處理。CVSS-4這一句最容易被讀歪。X 不是 0不是最輕也不是最重它的意思是這一項沒有給出判斷。把它當成最低值你會系統(tǒng)性低估把它當成最高值你會系統(tǒng)性高估。兩種都錯。它也解釋了一類平臺差異同一個漏洞一邊把某一項填了具體值另一邊留了 X。兩邊的串看起來只差幾個字母可它們對我們知道什么的坦白程度不一樣。讀串的時候順手看一眼有沒有 X比記住每個字母的含義更有用。三、四組指標各管什么3.1 Base不隨時間、不隨環(huán)境變的那層底子Base 的定義是內(nèi)在性質(zhì)規(guī)范的原話是它constant over time and across user environments——不隨時間變也不隨使用者的環(huán)境變。CVSS-2它由五個描述攻擊這件事有多難的指標加上兩套描述打穿之后影響多大的指標構(gòu)成。五個指標各自的含義規(guī)范是這么說的CVSS-5AV攻擊者能多遠地夠到這個漏洞。規(guī)范的說法是攻擊者在邏輯上和物理上離得越遠這個值越大。AC攻擊者為了繞開系統(tǒng)里已有的安全增強條件必須主動做多少可測量的動作。AT部署與執(zhí)行上的前置條件也就是這漏洞要成立環(huán)境里得先滿足哪些條件。PR攻擊者在成功利用之前手上得先有多少權(quán)限。UI除了攻擊者之外還得有一個真人參與?？辞暹@五項的共同點它們問的都是要打成得先滿足什么。AV 問距離AC 問要不要主動繞AT 問環(huán)境前提PR 問已有權(quán)限UI 問有沒有別人幫忙。這是同一件事的五個側(cè)面不是五種不同的嚴重程度。影響面則分成兩套may include impact on the vulnerable system and/or the downstream impact on what is formally called the ‘subsequent system(s)’一套是被攻陷的那臺系統(tǒng)另一套是它后面被牽連的系統(tǒng)。規(guī)范還補了一句沒有外溢的時候后面那三項留 N。CVSS-63.2 Threat 與 Environmental會變的和隨你家環(huán)境變的Base 之外的兩組分的是兩種變。Threat 管的是隨時間變的那部分change over time。同一個漏洞上個月和這個月公開程度、利用的活躍度、有沒有可用的緩解手段都可能不同這部分不該被釘死在漏洞的固有屬性里。Environmental 管的是只跟你自己環(huán)境有關(guān)的那部分unique to a user’s environment。同一份代碼跑在你筆記本的容器里和跑在機房核心區(qū)前面有幾層隔離、后面掛著什么數(shù)據(jù)完全不是一回事。這部分只有使用方自己填得出來。這兩組的區(qū)別值得單獨記一句Threat 是大家都看得到、但會過期的信息Environmental 是只有你知道、也不會過期的信息。3.3 Supplemental唯一明說不改分的一組第四組最容易被誤會。Supplemental 聽起來像補充加分項但規(guī)范寫得很清楚這組指標do not modify the final score不修改最終分數(shù)。CVSS-2它攜帶的是給人讀的上下文不是給公式用的輸入。所以看到一串向量里帶著補充項別指望它把分數(shù)推高或壓低——它對數(shù)字沒有作用。把四組擺在一起分工就清楚了指標組它描述什么誰填會不會改最終分Base不隨時間、不隨環(huán)境變的內(nèi)在性質(zhì)公告分析人員、產(chǎn)品廠商、應用廠商會Threat隨時間變化的那部分使用方組織會Environmental只與使用者環(huán)境有關(guān)的那部分使用方組織會Supplemental補充上下文規(guī)范引言未點名不會表里誰填這一列依據(jù)是規(guī)范引言的兩句話Base 由漏洞公告分析人員、產(chǎn)品廠商或應用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這一列是全文的樞紐。它說明了一件事**同一個漏洞的分數(shù)不一樣往往是因為填表的人站在不同的位置上。**廠商填的是自己的產(chǎn)品使用方填的是自己的環(huán)境兩邊看到的世界本來就不一樣。四、分數(shù)是查表加插值不是四則運算4.1 規(guī)范自己怎么描述這個計算很多人以為 CVSS 是一套加權(quán)公式每項給個系數(shù)乘一乘加一加出個小數(shù)。規(guī)范不是這么寫的vectors are clustered in sets called MacroVectorsThe score of a MacroVector is defined by a lookup table … The score of a vector within each MacroVector is defined by interpolation.先把向量按幾個關(guān)鍵指標聚成宏向量每個宏向量的分數(shù)由一張查找表定義同一個宏向量內(nèi)部各條向量的分數(shù)由插值定義。CVSS-7翻成人話歸類查表再在表里的基準點之間按比例挪一點。整個過程里沒有每項乘以權(quán)重再求和這一步。4.2 這條事實能擋掉三類錯誤推理第一類**“把某一項從低改到高分數(shù)一定漲一個固定值?！?*不成立。插值是分段做的同樣改一格落在不同的宏向量里挪動的幅度可以差很遠。第二類**“兩條串只差一個字母分數(shù)應該差不多。”**也不成立。差的那一格如果剛好把向量挪進了另一個宏向量落點就換了一張表。反過來兩條看起來差好幾個字母的串也可能落在同一格里插值之后差距很小。第三類**“我自己按權(quán)重算一遍能復現(xiàn)公告上的數(shù)。”**復現(xiàn)不了。除非你手里有那張查找表和插值規(guī)則否則算出來的只是另一個數(shù)。網(wǎng)上那些所謂計算器本質(zhì)都是把這兩樣東西實現(xiàn)了一遍不是把公式抄了一遍——因為公式并不存在。這一節(jié)的用處不是讓你會算而是讓你放棄從單個字母反推分數(shù)的念頭?？吹竭@一項升了一檔分數(shù)怎么只漲這么點這種疑問答案往往就在宏向量的歸類上而不在任何一項的權(quán)重上。4.3 檔位是另一張表而且是可選的數(shù)字之外公告里還會給一個定性檔位。規(guī)范給了一張對照表CVSS-10定性檔位對應的分數(shù)區(qū)間None0.0Low0.1–3.9Medium4.0–6.9High7.0–8.9Critical9.0–10.0這張表是量表不是任何一個漏洞的分數(shù)別拿它當例子用。同一段規(guī)范還有一句容易被跳過的話「The use of these qualitative severity ratings is optional」——用不用這套定性檔位是可選的。CVSS-10這句話解釋了一個常見困惑為什么有的公告只給數(shù)字不給檔位有的給檔位但用的詞跟這張表對不上。因為檔位是規(guī)范提供的便利不是強制輸出?？吹礁呶乐剡@類詞先確認它是 CVSS 的檔位還是發(fā)布方自己那套分級兩者同名不同義的情況并不少見。順便說一句檔位這套東西在 3.1 和 4.0 之間沒有改動兩邊是同一張表。CVSS-13這件事后面還會用到——它意味著高危這個詞的含義沒變變的只是算出數(shù)字的那套問法。五、為什么兩個平臺不一樣5.1 誰填哪組兩份不同的作業(yè)第三章那張表里誰填這一列是全文的樞紐這一章先把它說透。規(guī)范引言把填表的責任分給了兩類人the Base metrics are specified by vulnerability bulletin analysts, product vendors, or application vendorsThe Threat and Environmental metrics are specified by consumer organizationsBase 由公告分析人員、產(chǎn)品廠商、應用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這個分工不是行政安排是信息可得性決定的。廠商知道自己產(chǎn)品里那段代碼怎么寫的卻不知道你把它部署在哪、前面有幾層網(wǎng)關(guān)、后面掛著什么庫使用方正好相反。兩邊都只能填自己看得見的那一半。于是兩個平臺分數(shù)不同的第一種解釋就出來了**它們在填兩份不同的作業(yè)。**一個站給的是廠商視角的 Base 分另一個站補上了自己那套威脅與環(huán)境判斷。前者不是錯的它只是回答得少一些。這里有個容易踩的坑把分數(shù)高的那個當成更權(quán)威。分數(shù)高低跟權(quán)威性沒關(guān)系跟這套假設(shè)有多貼合你的場景才有關(guān)系。如果補了 Environmental 的那個站它的環(huán)境假設(shè)跟你的環(huán)境不像它的數(shù)對你反而更沒用。5.2 命名法B / BT / BE / BTE規(guī)范給了四個寫法專門標明這個數(shù)是哪幾組算的CVSS-B Base metrics; CVSS-BE Base and Environmental metrics; CVSS-BT Base and Threat metrics; CVSS-BTE Base, Threat, Environmental metricsCVSS-8四個后綴其實就是把用到的組名首字母拼在一起寫法用了哪幾組通常誰給能不能直接比CVSS-B只有 Base廠商、公告分析人員只能跟同為 B 的比CVSS-BTBase 加 Threat有威脅情報的使用方只能跟同一時間窗的 BT 比CVSS-BEBase 加 Environmental有資產(chǎn)清單的使用方只在自己組織內(nèi)部有意義CVSS-BTEBase、Threat、Environmental做完整評估的使用方出不了自己組織的門這張表最該記住的是最后一列。BE 和 BTE 是給自己看的數(shù)它把你家的隔離層數(shù)、數(shù)據(jù)敏感度、暴露面都算進去了這些前提別人沒有所以別人既復現(xiàn)不了也不該拿它跟自己的數(shù)比。還有一點Supplemental 不在任何一個后綴里。這跟第三章那條對得上——它不改分自然也就不進命名?？吹椒謹?shù)先找后綴這個習慣能省掉很多爭論。沒有后綴的按上下文判斷它至少是 Base-only有后綴的先看那個后綴跟你手里那個數(shù)是不是同一套。5.3 第三種可能CVSS 只是風險的輸入還有一類不一致根本不在分數(shù)上而在用途上。規(guī)范對 CVSS 的定位寫得很克制Consumers may use CVSS information as input to an organizational vulnerability management process that also considers factors that are not part of CVSS它是輸入不是結(jié)論。規(guī)范緊接著列了一串不在 CVSS 范圍內(nèi)的因素包括監(jiān)管要求、受影響的客戶數(shù)量、金錢損失、生命與財產(chǎn)、聲譽。CVSS-11這串東西沒有一項塞得進向量串。所以這個漏洞要不要今晚加班修這個問題CVSS 答不了它能答的只是在這組假設(shè)下技術(shù)面有多重。于是兩個平臺的分歧還有第三種來源一個在給你技術(shù)評分另一個在給你處置建議兩者背后的假設(shè)根本不是一回事。拿建議去跟分數(shù)比屬于跨物種比較。這份「四組指標 四個后綴」的對照我壓成了一頁速查跟下面這個碼放在一起了六、v3.1 和 v4.0 對著看6.1 三組變四組老公告和新公告分數(shù)不同很多人第一反應是平臺偷偷改了算法。更常見的情況是它們用的根本不是同一版規(guī)范。v3.1 的組數(shù)是三組CVSS consists of three metric groups: Base, Temporal, and Environmental.Base、Temporal、Environmental。CVSS-12到了 4.0 變成四組多出一個 Supplemental而會隨時間變的那部分在 4.0 里叫 Threat。CVSS-1組數(shù)一變“同一組假設(shè)這句話的含義就變了。3.1 里你把三組填滿跟 4.0 里你把 Base 填滿看著都是填完了”覆蓋的范圍不一樣。6.2 影響指標一個開關(guān)拆成兩套這是兩版之間最大的一處結(jié)構(gòu)差別。v3.1 的 Base 是 AV、AC、PR、UI、S、C、I、A 八項。CVSS-12其中 S 是一個范圍開關(guān)用來區(qū)分影響留在被攻陷的那臺系統(tǒng)內(nèi)還是溢出到了后續(xù)系統(tǒng)。4.0 把這個開關(guān)拆了換成兩套并列的影響指標VC、VI、VA 描述被攻陷的系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)。CVSS-14CVSS-6v3.1 Base: AV / AC / PR / UI / S / C / I / A v4.0 Base: AV / AC / AT / PR / UI / VC / VI / VA / SC / SI / SA上面兩行不是命令是項數(shù)對照。一眼能看出兩件事3.1 是八項4.0 是十一項4.0 那行多出來的AT和最后三項正好對應新增一項前置條件和影響面拆成兩套。這個改動帶來的直接后果是**同一個判斷在新舊兩版里要填的格子數(shù)不一樣。**在 3.1 里用一個 S 就能表達的意思到 4.0 得拆到六項影響指標上其中三項專門描述后續(xù)系統(tǒng)每一項都有判斷余地判斷余地就是分數(shù)差異的來源。所以老公告和新公告不一樣的另一半答案在這里不全是平臺立場問題記法換代本身就換了問法。6.3 UI 三值、新增 AT檔位沒動還有兩處小改動影響不算小。第一處是 UI。3.1 的 UI 是兩個值4.0 變成三個值。CVSS-14多出來的那一檔意味著要有人參與不再是非黑即白有些情形放在舊記法里只能二選一免不了要往某一頭靠。第二處是 AT全稱 Attack Requirements4.0 新增。它跟 AC 的分工要分清AC 問的是攻擊者得主動做多少動作去繞開已有防護AT 問的是環(huán)境里得先具備哪些部署與執(zhí)行條件。CVSS-5一個是要動手做什么一個是得先有什么。把這幾處跟第四章那條連起來看還有一條別忘定性檔位兩張表一樣五個檔位、區(qū)間都沒改。CVSS-13所以高危這個詞的含金量沒變變的是算出數(shù)字的問法。看到新公告的檔位跟老公告一樣不代表內(nèi)容沒變。對比項v3.1v4.0指標組三組Base、Temporal、Environmental四組Base、Threat、Environmental、SupplementalBase 項數(shù)八項十一項性狀指標AV、AC、PR、UIAV、AC、AT、PR、UI影響指標S 一個范圍開關(guān)加 C、I、AVC、VI、VA 描述被攻陷系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)用戶交互 UI兩個值三個值部署前置條件沒有單獨一項新增 AT不改分的補充組沒有這一組有 Supplemental明說不改分命名法未見這套后綴本文未核到對應寫法CVSS-B / BT / BE / BTE定性檔位五檔五檔與 v3.1 相同七、讀公告的四步7.1 四步拿到一串向量按這個順序過一遍比逐個字母查詞典快得多。認版本。串頭是CVSS:3.1/還是CVSS:4.0/。版本認錯后面每個字母的含義都會錯位?？?Base 齊不齊、順序?qū)Σ粚?。Base 缺項、順序被打亂的串按規(guī)范是無效串別拿去跟任何東西比。CVSS-3找后綴或者看有沒有 Threat 與 Environmental 的值。這一步?jīng)Q定你手里是 CVSS-B 還是 CVSS-BTE。CVSS-8判斷能不能比。同版本、同組、同假設(shè)三個條件都滿足才叫可比。第三步最容易被跳過。很多人拿到分數(shù)就直奔結(jié)論根本沒注意手里那個數(shù)是 B 還是 BTE于是把廠商視角和自家視角的兩個數(shù)放進一張表排名次——這張表從第一行起就沒有意義。7.2 三個不該做的比較跨版本比。3.1 和 4.0 的 Base 項數(shù)、影響指標寫法都不一樣兩個數(shù)不是同一把尺子量出來的。要比先比問法再談數(shù)字?？缃M比。CVSS-B 跟 CVSS-BTE 的差別不是精度差別是假設(shè)范圍的差別。一個只算了內(nèi)在性質(zhì)一個把威脅態(tài)勢和你家環(huán)境都算了進去這兩個數(shù)的大小關(guān)系說明不了任何事。拿 CVSS 當處置優(yōu)先級。它只是輸入。CVSS-11同樣一個數(shù)落在核心庫上和在測試機上該做的事完全不同這不是 CVSS 的缺陷是它刻意留出的邊界。順帶說一條自查用的小命令。本機沒有裝任何 CVSS 相關(guān)工具下面這條沒有實際跑過??代碼待驗證grep-oCVSS:[0-9.]*/advisory.txt|sort|uniq-c它做的事很樸素把一份公告里出現(xiàn)過的版本標簽都數(shù)一遍。如果同一份公告里既有 3.1 又有 4.0 的串說明發(fā)布方在不同時間點補過數(shù)據(jù)你手里的兩串可能壓根不是同一輪評估的產(chǎn)物。7.3 回到那兩張截圖那個學弟的問題現(xiàn)在可以拆成三問這兩個數(shù)是哪一版規(guī)范算的各自用了哪幾組指標是誰填的三問答完多半會發(fā)現(xiàn)兩個數(shù)根本不構(gòu)成矛盾——一個答的是這個漏洞本身有多重另一個答的是在這套威脅形勢與環(huán)境假設(shè)下有多重。它們不是對同一個問題的兩種答案是兩個問題各自的答案。真正需要警惕的是另一種情況兩個數(shù)看起來可比實際不可比而你又拿它做了決定。向量串的價值就在這兒——它把這個數(shù)是在什么前提下算的寫在了明面上只要你肯讀那串斜杠就不容易被一個孤零零的數(shù)字帶走。第七章這四步我做成了可以對著公告逐條勾的檢查表附表 A本文引用事實與官方出處對照表序號事實出處本文位置1CVSS 由四組指標構(gòu)成Base、Threat、Environmental、Supplemental逐字FIRST《CVSS v4.0 Specification Document》引言Document Version 1.2第一章 1.2、第三章 3.1–3.32四組分工Base 不隨時間與環(huán)境變Threat 隨時間變Environmental 隨使用者環(huán)境Supplemental 不改最終分逐字同上引言第一章 1.2、第三章 3.1–3.33向量串以CVSS:加版本號開頭逐字同上§2第二章 2.14指標須按規(guī)范表格順序出現(xiàn)其他順序無效Base 指標必須全部包含逐字同上§2第二章 2.2、第七章 7.15省略的指標按 Not DefinedX處理逐字同上§2第二章 2.36Base 五個性狀指標 AV/AC/AT/PR/UI 各自的定義逐字要點同上§2第三章 3.1、第六章 6.37影響指標可含被攻陷系統(tǒng)與后續(xù)系統(tǒng)兩套無外溢時后續(xù)三項留 N逐字同上§2第三章 3.1、第六章 6.28向量聚為 MacroVector宏向量分數(shù)由查找表定義組內(nèi)由插值定義逐字同上§7.1、§8第四章 4.1、4.29命名法 CVSS-B / BT / BE / BTE 四種寫法逐字同上引言第五章 5.2、第七章 7.110Base 由公告分析人員、廠商給出Threat 與 Environmental 由使用方組織給出逐字同上引言第三章 3.3、第五章 5.111定性檔位五檔及區(qū)間該檔位的使用是可選的逐字同上§5 Table 22第四章 4.312CVSS 是組織漏洞管理流程的輸入監(jiān)管要求、客戶數(shù)、金錢損失、生命財產(chǎn)、聲譽等不在其范圍內(nèi)逐字同上引言第五章 5.3、第七章 7.213v3.1 為三組Base、Temporal、EnvironmentalBase 含 AV/AC/PR/UI/S/C/I/A逐字FIRST《CVSS v3.1 Specification Document》引言、§1.1第六章 6.1、6.214v3.1 與 v4.0 的定性檔位一致同為五檔同區(qū)間v3.1 文檔 §5 Table 14v4.0 文檔 §5 Table 22第四章 4.3、第六章 6.315v4.0 以 VC/VI/VA SC/SI/SA 替代 S/C/I/A新增 ATUI 由兩值變?nèi)祻秃蠗l目由 CVSS-5、CVSS-6、CVSS-12 的取值表推出屬結(jié)構(gòu)性差異第六章 6.2、6.316Base 項數(shù) v3.1 為八項、v4.0 為十一項由第 6、13 行的指標清單直接計數(shù)得出非規(guī)范原文表述第六章 6.2、6.317待驗證具體漏洞在不同平臺上的分數(shù)差異實例本次未抓 NVD 與廠商公告實例頁故全文不給編號、不給分數(shù)本文未核到第一章 1.318待驗證本機未安裝任何 CVSS 計算或查詢工具全部命令塊未實際運行本機核對2026-10-24第二、七章代碼塊附表 B術(shù)語速查表術(shù)語一句話解釋向量串用斜杠把各指標取值拼起來的一行字符串是分數(shù)的輸入記錄指標組按假設(shè)適用范圍劃分的四類指標Base、Threat、Environmental、SupplementalBase描述漏洞內(nèi)在性質(zhì)不隨時間與使用者環(huán)境變化Threat描述會隨時間變化的威脅態(tài)勢由使用方填寫Environmental描述只與使用者自身環(huán)境有關(guān)的因素Supplemental補充上下文規(guī)范明寫不修改最終分數(shù)宏向量MacroVector按關(guān)鍵指標把向量聚成的集合分數(shù)先按集合查表插值在同一宏向量內(nèi)按偏離程度在基準點之間取分CVSS-B只用 Base 指標算出的分CVSS-BTBase 加 Threat 算出的分CVSS-BEBase 加 Environmental 算出的分CVSS-BTEBase、Threat、Environmental 三組算出的分XNot Defined省略指標時的默認取值意思是未給出判斷既非最低也非最高定性檔位None / Low / Medium / High / Critical 五檔區(qū)間固定是否采用由發(fā)布方?jīng)Q定可比性同版本、同指標組、同假設(shè)三個條件同時滿足兩個數(shù)才談得上比較寫在最后這篇用到的資料寫這篇文章時我把 v4.0 和 v3.1 兩份規(guī)范的指標表并排對了一遍最費勁的是確認分數(shù)到底怎么算——規(guī)范寫的是查表加插值不是加權(quán)求和這一點決定了后面所有推理的方向順手也整理了幾份配套的東西靶場環(huán)境對照表DVWA、upload-labs 在 Windows / macOS / Linux 三平臺的可行性與推薦路徑Web 安全學習路線圖從基礎(chǔ)打牢到安全管理四個階段各學什么常用靶場清單每個靶場練什么、適合哪個階段資料是我自己整理的放在下面這個碼上掃碼即可獲取添加時備注「靶場」優(yōu)先通過。拿到之后建議先看環(huán)境對照表那一份先把靶機跟宿主機隔開再回去對著公告讀那串斜杠——順序?qū)Σ粚?、Base 齊不齊比記分數(shù)有用。 同一個漏洞兩個平臺分數(shù)不同：CVSS 向量怎么讀
授權(quán)與合規(guī)聲明本文全部操作對象均為自建隔離靶場本機容器或隔離虛擬機涉及安全測試的環(huán)節(jié)必須以取得合法授權(quán)為前提。未經(jīng)授權(quán)的滲透測試違反《中華人民共和國網(wǎng)絡安全法》與《刑法》相關(guān)條款須承擔相應法律責任。本文只講環(huán)境配置、版本對照與靶場隔離不含任何攻擊步驟、利用載荷與繞過手法請勿將文中環(huán)境指向任何非自有系統(tǒng)。一、同一個漏洞兩個平臺兩個數(shù)1.1 兩張截圖的差別一個學弟發(fā)來兩張截圖。同一個漏洞他在兩個站點各查了一次一個給的分數(shù)明顯比另一個高一截。他問是不是有一個站算錯了。這個問題問得對但答案大概率是兩個都沒算錯。分數(shù)不一樣最常見的成因不是誰算錯了而是兩邊回答的根本不是同一個問題。一邊答的是這個漏洞本身有多重另一邊答的是這個漏洞在你這套環(huán)境里、按現(xiàn)在的威脅形勢有多重。問題換了數(shù)自然跟著換。1.2 分數(shù)是「某一組假設(shè)下算出來的數(shù)」打個比方同一段路導航給你的預計耗時會因為你選現(xiàn)在出發(fā)還是明早八點出發(fā)而差出一大截。路還是那條路變的是前提。CVSS 把這層前提顯式拆開了。規(guī)范開頭第一句就把指標分成四組CVSS consists of four metric groups: Base, Threat, Environmental, and Supplemental.譯過來就是 Base、Threat、Environmental、Supplemental 四組。CVSS-1這四組的區(qū)別不在重要程度而在這些假設(shè)在什么范圍內(nèi)成立。Base 描述的是不隨時間變、也不隨使用者環(huán)境變的那部分性質(zhì)Threat 描述會隨時間變的那部分Environmental 描述只跟你自己的環(huán)境有關(guān)的那部分Supplemental 是補充說明規(guī)范明確寫了它不改變最終分數(shù)。CVSS-2所以用哪一組假設(shè)算的這句話落到實處就是用了哪幾組指標。只拿 Base 算出來的數(shù)和 Base 疊加 Threat、Environmental 之后算出來的數(shù)本來就是兩個不同的數(shù)。它們誰也不比誰更真它們各自對應一套前提。1.3 這篇只教讀不教打分下面七章只干一件事讓你看見公告里那串由斜杠拼起來的東西時知道它說了什么、以及它沒說什么。有三件事本文不做。第一不教你怎么給一個漏洞打分——那需要你手里有資產(chǎn)、有威脅情報、有業(yè)務判斷不是讀一篇文章能學會的。第二不碰任何真實的漏洞實例通篇不給編號、不給分數(shù)因為平臺實例頁本次沒有抓取核對任何某漏洞在某平臺是多少分的寫法都會變成編造CVSS-15待驗證。第三不寫復現(xiàn)——本文全程只對著公告的文字較勁。你只要記住開頭這一句后面全是它的展開分數(shù)不是漏洞的屬性是某一組假設(shè)下算出來的一個數(shù)。補一句出處本文對照的兩份規(guī)范都來自 FIRST 官網(wǎng)v4.0 那份的文檔版本號是 1.2核對日期為 2026-10-24。二、那串斜杠向量串的結(jié)構(gòu)2.1 開頭那段是標簽不是指標公告里那串東西正式名字叫向量串。它長這樣開頭CVSS:4.0/。規(guī)范對它的定義是The CVSS v4.0 vector string begins with the label ‘CVSS:’ and a numeric representation of the current version, ‘4.0’.也就是說第一段CVSS:4.0只回答一個問題這是哪一版的記法。CVSS-3別小看這一段。它決定了后面所有段該怎么念。CVSS:3.1/開頭的那串指標名字和取值范圍跟 4.0 不是一套你把兩串并排放著肉眼看著都是斜杠加字母實際是兩種語言。第六章會把這兩套語言逐項對上。2.2 順序固定Base 一項都不能少向量串里段的順序不是習慣問題是合法性問題。同一段規(guī)范接著寫A vector string must contain metrics in the order shown in Table 23, every other ordering is invalid. All Base metrics must be included兩句話兩個硬約束順序按規(guī)范里那張表來換成別的順序就是無效串Base 那幾項必須全部出現(xiàn)。CVSS-3這兩個約束帶來一個很實用的推論串的長度和段的排列本身就是信息。你不需要記住每個字母的含義只要看它是不是按規(guī)范順序排的、Base 是不是齊的就能判斷這條串能不能拿來跟別人比。排錯順序的串、缺 Base 項的串都不該進你的對比表。下面這兩串只是記法示意不對應任何真實漏洞也不帶分數(shù)CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H第一行是 4.0 的寫法第二行是 3.1 的寫法?？吹贸霾钤谀膯?.0 那行最后多了三項SC/SI/SA中間多了AT而 3.1 那行有一個S。這些差異不是排版是第六章要講的結(jié)構(gòu)性區(qū)別。想把段的順序擺到眼前最笨也最有效的辦法是把斜杠換掉。本機沒有裝任何 CVSS 工具下面兩條都沒有實際跑過??代碼待驗證grep-oCVSS:4\.0/[^ ]*advisory.txt這行只是從一份文本里把向量串原樣撈出來。它不判斷對錯只負責把那一串斜杠從一堆描述文字里拎出來。??代碼待驗證grep-oCVSS:4\.0/[^ ]*advisory.txt|tr/\n|nl第二行把斜杠換成換行再編號一段占一行順序?qū)Σ粚σ谎劬湍芸闯鰜?。這兩條命令都寫在隔離環(huán)境的文本文件上沒有連接任何外部服務。2.3 省略的項按 X 處理X 不是零Base 必填所以省略這件事主要發(fā)生在 Base 之外的那幾組上。規(guī)范對這種省略有明確規(guī)定omitted metrics are considered to have the value of Not Defined (X)省掉的指標按未定義X處理。CVSS-4這一句最容易被讀歪。X 不是 0不是最輕也不是最重它的意思是這一項沒有給出判斷。把它當成最低值你會系統(tǒng)性低估把它當成最高值你會系統(tǒng)性高估。兩種都錯。它也解釋了一類平臺差異同一個漏洞一邊把某一項填了具體值另一邊留了 X。兩邊的串看起來只差幾個字母可它們對我們知道什么的坦白程度不一樣。讀串的時候順手看一眼有沒有 X比記住每個字母的含義更有用。三、四組指標各管什么3.1 Base不隨時間、不隨環(huán)境變的那層底子Base 的定義是內(nèi)在性質(zhì)規(guī)范的原話是它constant over time and across user environments——不隨時間變也不隨使用者的環(huán)境變。CVSS-2它由五個描述攻擊這件事有多難的指標加上兩套描述打穿之后影響多大的指標構(gòu)成。五個指標各自的含義規(guī)范是這么說的CVSS-5AV攻擊者能多遠地夠到這個漏洞。規(guī)范的說法是攻擊者在邏輯上和物理上離得越遠這個值越大。AC攻擊者為了繞開系統(tǒng)里已有的安全增強條件必須主動做多少可測量的動作。AT部署與執(zhí)行上的前置條件也就是這漏洞要成立環(huán)境里得先滿足哪些條件。PR攻擊者在成功利用之前手上得先有多少權(quán)限。UI除了攻擊者之外還得有一個真人參與?？辞暹@五項的共同點它們問的都是要打成得先滿足什么。AV 問距離AC 問要不要主動繞AT 問環(huán)境前提PR 問已有權(quán)限UI 問有沒有別人幫忙。這是同一件事的五個側(cè)面不是五種不同的嚴重程度。影響面則分成兩套may include impact on the vulnerable system and/or the downstream impact on what is formally called the ‘subsequent system(s)’一套是被攻陷的那臺系統(tǒng)另一套是它后面被牽連的系統(tǒng)。規(guī)范還補了一句沒有外溢的時候后面那三項留 N。CVSS-63.2 Threat 與 Environmental會變的和隨你家環(huán)境變的Base 之外的兩組分的是兩種變。Threat 管的是隨時間變的那部分change over time。同一個漏洞上個月和這個月公開程度、利用的活躍度、有沒有可用的緩解手段都可能不同這部分不該被釘死在漏洞的固有屬性里。Environmental 管的是只跟你自己環(huán)境有關(guān)的那部分unique to a user’s environment。同一份代碼跑在你筆記本的容器里和跑在機房核心區(qū)前面有幾層隔離、后面掛著什么數(shù)據(jù)完全不是一回事。這部分只有使用方自己填得出來。這兩組的區(qū)別值得單獨記一句Threat 是大家都看得到、但會過期的信息Environmental 是只有你知道、也不會過期的信息。3.3 Supplemental唯一明說不改分的一組第四組最容易被誤會。Supplemental 聽起來像補充加分項但規(guī)范寫得很清楚這組指標do not modify the final score不修改最終分數(shù)。CVSS-2它攜帶的是給人讀的上下文不是給公式用的輸入。所以看到一串向量里帶著補充項別指望它把分數(shù)推高或壓低——它對數(shù)字沒有作用。把四組擺在一起分工就清楚了指標組它描述什么誰填會不會改最終分Base不隨時間、不隨環(huán)境變的內(nèi)在性質(zhì)公告分析人員、產(chǎn)品廠商、應用廠商會Threat隨時間變化的那部分使用方組織會Environmental只與使用者環(huán)境有關(guān)的那部分使用方組織會Supplemental補充上下文規(guī)范引言未點名不會表里誰填這一列依據(jù)是規(guī)范引言的兩句話Base 由漏洞公告分析人員、產(chǎn)品廠商或應用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這一列是全文的樞紐。它說明了一件事**同一個漏洞的分數(shù)不一樣往往是因為填表的人站在不同的位置上。**廠商填的是自己的產(chǎn)品使用方填的是自己的環(huán)境兩邊看到的世界本來就不一樣。四、分數(shù)是查表加插值不是四則運算4.1 規(guī)范自己怎么描述這個計算很多人以為 CVSS 是一套加權(quán)公式每項給個系數(shù)乘一乘加一加出個小數(shù)。規(guī)范不是這么寫的vectors are clustered in sets called MacroVectorsThe score of a MacroVector is defined by a lookup table … The score of a vector within each MacroVector is defined by interpolation.先把向量按幾個關(guān)鍵指標聚成宏向量每個宏向量的分數(shù)由一張查找表定義同一個宏向量內(nèi)部各條向量的分數(shù)由插值定義。CVSS-7翻成人話歸類查表再在表里的基準點之間按比例挪一點。整個過程里沒有每項乘以權(quán)重再求和這一步。4.2 這條事實能擋掉三類錯誤推理第一類**“把某一項從低改到高分數(shù)一定漲一個固定值?！?*不成立。插值是分段做的同樣改一格落在不同的宏向量里挪動的幅度可以差很遠。第二類**“兩條串只差一個字母分數(shù)應該差不多。”**也不成立。差的那一格如果剛好把向量挪進了另一個宏向量落點就換了一張表。反過來兩條看起來差好幾個字母的串也可能落在同一格里插值之后差距很小。第三類**“我自己按權(quán)重算一遍能復現(xiàn)公告上的數(shù)。”**復現(xiàn)不了。除非你手里有那張查找表和插值規(guī)則否則算出來的只是另一個數(shù)。網(wǎng)上那些所謂計算器本質(zhì)都是把這兩樣東西實現(xiàn)了一遍不是把公式抄了一遍——因為公式并不存在。這一節(jié)的用處不是讓你會算而是讓你放棄從單個字母反推分數(shù)的念頭?？吹竭@一項升了一檔分數(shù)怎么只漲這么點這種疑問答案往往就在宏向量的歸類上而不在任何一項的權(quán)重上。4.3 檔位是另一張表而且是可選的數(shù)字之外公告里還會給一個定性檔位。規(guī)范給了一張對照表CVSS-10定性檔位對應的分數(shù)區(qū)間None0.0Low0.1–3.9Medium4.0–6.9High7.0–8.9Critical9.0–10.0這張表是量表不是任何一個漏洞的分數(shù)別拿它當例子用。同一段規(guī)范還有一句容易被跳過的話「The use of these qualitative severity ratings is optional」——用不用這套定性檔位是可選的。CVSS-10這句話解釋了一個常見困惑為什么有的公告只給數(shù)字不給檔位有的給檔位但用的詞跟這張表對不上。因為檔位是規(guī)范提供的便利不是強制輸出?？吹礁呶乐剡@類詞先確認它是 CVSS 的檔位還是發(fā)布方自己那套分級兩者同名不同義的情況并不少見。順便說一句檔位這套東西在 3.1 和 4.0 之間沒有改動兩邊是同一張表。CVSS-13這件事后面還會用到——它意味著高危這個詞的含義沒變變的只是算出數(shù)字的那套問法。五、為什么兩個平臺不一樣5.1 誰填哪組兩份不同的作業(yè)第三章那張表里誰填這一列是全文的樞紐這一章先把它說透。規(guī)范引言把填表的責任分給了兩類人the Base metrics are specified by vulnerability bulletin analysts, product vendors, or application vendorsThe Threat and Environmental metrics are specified by consumer organizationsBase 由公告分析人員、產(chǎn)品廠商、應用廠商給出Threat 與 Environmental 由使用方組織給出。CVSS-9這個分工不是行政安排是信息可得性決定的。廠商知道自己產(chǎn)品里那段代碼怎么寫的卻不知道你把它部署在哪、前面有幾層網(wǎng)關(guān)、后面掛著什么庫使用方正好相反。兩邊都只能填自己看得見的那一半。于是兩個平臺分數(shù)不同的第一種解釋就出來了**它們在填兩份不同的作業(yè)。**一個站給的是廠商視角的 Base 分另一個站補上了自己那套威脅與環(huán)境判斷。前者不是錯的它只是回答得少一些。這里有個容易踩的坑把分數(shù)高的那個當成更權(quán)威。分數(shù)高低跟權(quán)威性沒關(guān)系跟這套假設(shè)有多貼合你的場景才有關(guān)系。如果補了 Environmental 的那個站它的環(huán)境假設(shè)跟你的環(huán)境不像它的數(shù)對你反而更沒用。5.2 命名法B / BT / BE / BTE規(guī)范給了四個寫法專門標明這個數(shù)是哪幾組算的CVSS-B Base metrics; CVSS-BE Base and Environmental metrics; CVSS-BT Base and Threat metrics; CVSS-BTE Base, Threat, Environmental metricsCVSS-8四個后綴其實就是把用到的組名首字母拼在一起寫法用了哪幾組通常誰給能不能直接比CVSS-B只有 Base廠商、公告分析人員只能跟同為 B 的比CVSS-BTBase 加 Threat有威脅情報的使用方只能跟同一時間窗的 BT 比CVSS-BEBase 加 Environmental有資產(chǎn)清單的使用方只在自己組織內(nèi)部有意義CVSS-BTEBase、Threat、Environmental做完整評估的使用方出不了自己組織的門這張表最該記住的是最后一列。BE 和 BTE 是給自己看的數(shù)它把你家的隔離層數(shù)、數(shù)據(jù)敏感度、暴露面都算進去了這些前提別人沒有所以別人既復現(xiàn)不了也不該拿它跟自己的數(shù)比。還有一點Supplemental 不在任何一個后綴里。這跟第三章那條對得上——它不改分自然也就不進命名?？吹椒謹?shù)先找后綴這個習慣能省掉很多爭論。沒有后綴的按上下文判斷它至少是 Base-only有后綴的先看那個后綴跟你手里那個數(shù)是不是同一套。5.3 第三種可能CVSS 只是風險的輸入還有一類不一致根本不在分數(shù)上而在用途上。規(guī)范對 CVSS 的定位寫得很克制Consumers may use CVSS information as input to an organizational vulnerability management process that also considers factors that are not part of CVSS它是輸入不是結(jié)論。規(guī)范緊接著列了一串不在 CVSS 范圍內(nèi)的因素包括監(jiān)管要求、受影響的客戶數(shù)量、金錢損失、生命與財產(chǎn)、聲譽。CVSS-11這串東西沒有一項塞得進向量串。所以這個漏洞要不要今晚加班修這個問題CVSS 答不了它能答的只是在這組假設(shè)下技術(shù)面有多重。于是兩個平臺的分歧還有第三種來源一個在給你技術(shù)評分另一個在給你處置建議兩者背后的假設(shè)根本不是一回事。拿建議去跟分數(shù)比屬于跨物種比較。這份「四組指標 四個后綴」的對照我壓成了一頁速查跟下面這個碼放在一起了六、v3.1 和 v4.0 對著看6.1 三組變四組老公告和新公告分數(shù)不同很多人第一反應是平臺偷偷改了算法。更常見的情況是它們用的根本不是同一版規(guī)范。v3.1 的組數(shù)是三組CVSS consists of three metric groups: Base, Temporal, and Environmental.Base、Temporal、Environmental。CVSS-12到了 4.0 變成四組多出一個 Supplemental而會隨時間變的那部分在 4.0 里叫 Threat。CVSS-1組數(shù)一變“同一組假設(shè)這句話的含義就變了。3.1 里你把三組填滿跟 4.0 里你把 Base 填滿看著都是填完了”覆蓋的范圍不一樣。6.2 影響指標一個開關(guān)拆成兩套這是兩版之間最大的一處結(jié)構(gòu)差別。v3.1 的 Base 是 AV、AC、PR、UI、S、C、I、A 八項。CVSS-12其中 S 是一個范圍開關(guān)用來區(qū)分影響留在被攻陷的那臺系統(tǒng)內(nèi)還是溢出到了后續(xù)系統(tǒng)。4.0 把這個開關(guān)拆了換成兩套并列的影響指標VC、VI、VA 描述被攻陷的系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)。CVSS-14CVSS-6v3.1 Base: AV / AC / PR / UI / S / C / I / A v4.0 Base: AV / AC / AT / PR / UI / VC / VI / VA / SC / SI / SA上面兩行不是命令是項數(shù)對照。一眼能看出兩件事3.1 是八項4.0 是十一項4.0 那行多出來的AT和最后三項正好對應新增一項前置條件和影響面拆成兩套。這個改動帶來的直接后果是**同一個判斷在新舊兩版里要填的格子數(shù)不一樣。**在 3.1 里用一個 S 就能表達的意思到 4.0 得拆到六項影響指標上其中三項專門描述后續(xù)系統(tǒng)每一項都有判斷余地判斷余地就是分數(shù)差異的來源。所以老公告和新公告不一樣的另一半答案在這里不全是平臺立場問題記法換代本身就換了問法。6.3 UI 三值、新增 AT檔位沒動還有兩處小改動影響不算小。第一處是 UI。3.1 的 UI 是兩個值4.0 變成三個值。CVSS-14多出來的那一檔意味著要有人參與不再是非黑即白有些情形放在舊記法里只能二選一免不了要往某一頭靠。第二處是 AT全稱 Attack Requirements4.0 新增。它跟 AC 的分工要分清AC 問的是攻擊者得主動做多少動作去繞開已有防護AT 問的是環(huán)境里得先具備哪些部署與執(zhí)行條件。CVSS-5一個是要動手做什么一個是得先有什么。把這幾處跟第四章那條連起來看還有一條別忘定性檔位兩張表一樣五個檔位、區(qū)間都沒改。CVSS-13所以高危這個詞的含金量沒變變的是算出數(shù)字的問法。看到新公告的檔位跟老公告一樣不代表內(nèi)容沒變。對比項v3.1v4.0指標組三組Base、Temporal、Environmental四組Base、Threat、Environmental、SupplementalBase 項數(shù)八項十一項性狀指標AV、AC、PR、UIAV、AC、AT、PR、UI影響指標S 一個范圍開關(guān)加 C、I、AVC、VI、VA 描述被攻陷系統(tǒng)SC、SI、SA 描述后續(xù)系統(tǒng)用戶交互 UI兩個值三個值部署前置條件沒有單獨一項新增 AT不改分的補充組沒有這一組有 Supplemental明說不改分命名法未見這套后綴本文未核到對應寫法CVSS-B / BT / BE / BTE定性檔位五檔五檔與 v3.1 相同七、讀公告的四步7.1 四步拿到一串向量按這個順序過一遍比逐個字母查詞典快得多。認版本。串頭是CVSS:3.1/還是CVSS:4.0/。版本認錯后面每個字母的含義都會錯位?？?Base 齊不齊、順序?qū)Σ粚?。Base 缺項、順序被打亂的串按規(guī)范是無效串別拿去跟任何東西比。CVSS-3找后綴或者看有沒有 Threat 與 Environmental 的值。這一步?jīng)Q定你手里是 CVSS-B 還是 CVSS-BTE。CVSS-8判斷能不能比。同版本、同組、同假設(shè)三個條件都滿足才叫可比。第三步最容易被跳過。很多人拿到分數(shù)就直奔結(jié)論根本沒注意手里那個數(shù)是 B 還是 BTE于是把廠商視角和自家視角的兩個數(shù)放進一張表排名次——這張表從第一行起就沒有意義。7.2 三個不該做的比較跨版本比。3.1 和 4.0 的 Base 項數(shù)、影響指標寫法都不一樣兩個數(shù)不是同一把尺子量出來的。要比先比問法再談數(shù)字?？缃M比。CVSS-B 跟 CVSS-BTE 的差別不是精度差別是假設(shè)范圍的差別。一個只算了內(nèi)在性質(zhì)一個把威脅態(tài)勢和你家環(huán)境都算了進去這兩個數(shù)的大小關(guān)系說明不了任何事。拿 CVSS 當處置優(yōu)先級。它只是輸入。CVSS-11同樣一個數(shù)落在核心庫上和在測試機上該做的事完全不同這不是 CVSS 的缺陷是它刻意留出的邊界。順帶說一條自查用的小命令。本機沒有裝任何 CVSS 相關(guān)工具下面這條沒有實際跑過??代碼待驗證grep-oCVSS:[0-9.]*/advisory.txt|sort|uniq-c它做的事很樸素把一份公告里出現(xiàn)過的版本標簽都數(shù)一遍。如果同一份公告里既有 3.1 又有 4.0 的串說明發(fā)布方在不同時間點補過數(shù)據(jù)你手里的兩串可能壓根不是同一輪評估的產(chǎn)物。7.3 回到那兩張截圖那個學弟的問題現(xiàn)在可以拆成三問這兩個數(shù)是哪一版規(guī)范算的各自用了哪幾組指標是誰填的三問答完多半會發(fā)現(xiàn)兩個數(shù)根本不構(gòu)成矛盾——一個答的是這個漏洞本身有多重另一個答的是在這套威脅形勢與環(huán)境假設(shè)下有多重。它們不是對同一個問題的兩種答案是兩個問題各自的答案。真正需要警惕的是另一種情況兩個數(shù)看起來可比實際不可比而你又拿它做了決定。向量串的價值就在這兒——它把這個數(shù)是在什么前提下算的寫在了明面上只要你肯讀那串斜杠就不容易被一個孤零零的數(shù)字帶走。第七章這四步我做成了可以對著公告逐條勾的檢查表附表 A本文引用事實與官方出處對照表序號事實出處本文位置1CVSS 由四組指標構(gòu)成Base、Threat、Environmental、Supplemental逐字FIRST《CVSS v4.0 Specification Document》引言Document Version 1.2第一章 1.2、第三章 3.1–3.32四組分工Base 不隨時間與環(huán)境變Threat 隨時間變Environmental 隨使用者環(huán)境Supplemental 不改最終分逐字同上引言第一章 1.2、第三章 3.1–3.33向量串以CVSS:加版本號開頭逐字同上§2第二章 2.14指標須按規(guī)范表格順序出現(xiàn)其他順序無效Base 指標必須全部包含逐字同上§2第二章 2.2、第七章 7.15省略的指標按 Not DefinedX處理逐字同上§2第二章 2.36Base 五個性狀指標 AV/AC/AT/PR/UI 各自的定義逐字要點同上§2第三章 3.1、第六章 6.37影響指標可含被攻陷系統(tǒng)與后續(xù)系統(tǒng)兩套無外溢時后續(xù)三項留 N逐字同上§2第三章 3.1、第六章 6.28向量聚為 MacroVector宏向量分數(shù)由查找表定義組內(nèi)由插值定義逐字同上§7.1、§8第四章 4.1、4.29命名法 CVSS-B / BT / BE / BTE 四種寫法逐字同上引言第五章 5.2、第七章 7.110Base 由公告分析人員、廠商給出Threat 與 Environmental 由使用方組織給出逐字同上引言第三章 3.3、第五章 5.111定性檔位五檔及區(qū)間該檔位的使用是可選的逐字同上§5 Table 22第四章 4.312CVSS 是組織漏洞管理流程的輸入監(jiān)管要求、客戶數(shù)、金錢損失、生命財產(chǎn)、聲譽等不在其范圍內(nèi)逐字同上引言第五章 5.3、第七章 7.213v3.1 為三組Base、Temporal、EnvironmentalBase 含 AV/AC/PR/UI/S/C/I/A逐字FIRST《CVSS v3.1 Specification Document》引言、§1.1第六章 6.1、6.214v3.1 與 v4.0 的定性檔位一致同為五檔同區(qū)間v3.1 文檔 §5 Table 14v4.0 文檔 §5 Table 22第四章 4.3、第六章 6.315v4.0 以 VC/VI/VA SC/SI/SA 替代 S/C/I/A新增 ATUI 由兩值變?nèi)祻秃蠗l目由 CVSS-5、CVSS-6、CVSS-12 的取值表推出屬結(jié)構(gòu)性差異第六章 6.2、6.316Base 項數(shù) v3.1 為八項、v4.0 為十一項由第 6、13 行的指標清單直接計數(shù)得出非規(guī)范原文表述第六章 6.2、6.317待驗證具體漏洞在不同平臺上的分數(shù)差異實例本次未抓 NVD 與廠商公告實例頁故全文不給編號、不給分數(shù)本文未核到第一章 1.318待驗證本機未安裝任何 CVSS 計算或查詢工具全部命令塊未實際運行本機核對2026-10-24第二、七章代碼塊附表 B術(shù)語速查表術(shù)語一句話解釋向量串用斜杠把各指標取值拼起來的一行字符串是分數(shù)的輸入記錄指標組按假設(shè)適用范圍劃分的四類指標Base、Threat、Environmental、SupplementalBase描述漏洞內(nèi)在性質(zhì)不隨時間與使用者環(huán)境變化Threat描述會隨時間變化的威脅態(tài)勢由使用方填寫Environmental描述只與使用者自身環(huán)境有關(guān)的因素Supplemental補充上下文規(guī)范明寫不修改最終分數(shù)宏向量MacroVector按關(guān)鍵指標把向量聚成的集合分數(shù)先按集合查表插值在同一宏向量內(nèi)按偏離程度在基準點之間取分CVSS-B只用 Base 指標算出的分CVSS-BTBase 加 Threat 算出的分CVSS-BEBase 加 Environmental 算出的分CVSS-BTEBase、Threat、Environmental 三組算出的分XNot Defined省略指標時的默認取值意思是未給出判斷既非最低也非最高定性檔位None / Low / Medium / High / Critical 五檔區(qū)間固定是否采用由發(fā)布方?jīng)Q定可比性同版本、同指標組、同假設(shè)三個條件同時滿足兩個數(shù)才談得上比較寫在最后這篇用到的資料寫這篇文章時我把 v4.0 和 v3.1 兩份規(guī)范的指標表并排對了一遍最費勁的是確認分數(shù)到底怎么算——規(guī)范寫的是查表加插值不是加權(quán)求和這一點決定了后面所有推理的方向順手也整理了幾份配套的東西靶場環(huán)境對照表DVWA、upload-labs 在 Windows / macOS / Linux 三平臺的可行性與推薦路徑Web 安全學習路線圖從基礎(chǔ)打牢到安全管理四個階段各學什么常用靶場清單每個靶場練什么、適合哪個階段資料是我自己整理的放在下面這個碼上掃碼即可獲取添加時備注「靶場」優(yōu)先通過。拿到之后建議先看環(huán)境對照表那一份先把靶機跟宿主機隔開再回去對著公告讀那串斜杠——順序?qū)Σ粚?、Base 齊不齊比記分數(shù)有用。