58、漏洞报告编写与CVSS评分系统全解析

漏洞报告编写与CVSS评分系统全解析

1. 常见漏洞评分系统（CVSS）

1.1 CVSS简介

CVSS（Common Vulnerabilities Scoring System）是一种对漏洞进行评分的方法，本文主要介绍2019年6月发布的3.1版本。你可以通过访问 nvd.nist.gov/vuln-metrics/cvss/v3-calculator 在线免费计算漏洞分数，也可以使用其他类似计算器，甚至自己开发。若想详细了解CVSS，可访问 www.first.org/cvss 。

CVSS可通过专业计算器（实现特定公式）为任何漏洞计算0 - 10分的分数，0表示无风险，10表示严重风险，该分数有助于向客户解释发现问题的相对风险。

1.2 计算基础分数的指标

计算基础分数需要考虑以下指标：
- 攻击向量（Attack Vector） ：可分为网络（network）、相邻网络（adjacent network）、本地（local）和物理（physical）。例如，公开可访问的Web应用中的SQL注入漏洞通常为网络攻击向量，意味着可远程利用；相邻网络表示只能从同一内部网络的其他主机利用，风险较低；本地表示需先获得主机访问权限；物理则要求攻击者实际物理接触受影响的机器。
- 攻击复杂度（Attack Compl