一个支付接口的漏洞等级漏洞，能直接换走账户里的漏洞等级钱。一个后台弱口令，漏洞等级可能让几十万用户的漏洞等级手机号裸奔。漏洞从来不平等，漏洞等级但很多人分不清手里的漏洞等级问题到底该标红还是标黄。

我见过最离谱的漏洞等级一次，某电商平台把优惠券金额校验做在前端。漏洞等级改个参数就能一分钱买手机。漏洞等级发现者提交报告时写了"中危"，漏洞等级理由是漏洞等级"仅影响促销活动"。厂商安全负责人看到差点摔键盘——这玩意儿能被脚本批量刷，漏洞等级一夜亏掉的漏洞等级钱够养整个安全团队一年。后来定级为严重，漏洞等级奖金翻了六倍。漏洞等级

漏洞等级不是学术分类，是资源分配工具。CVSS评分算得再精细，落到真实业务场景里，还得看三个东西：能碰到的数据有多敏感，利用门槛有多低，以及最关键的——攻击者能重复获利多少次。

一个需要物理接触设备才能触发的内核提权，和一个远程无需认证的SQL注入，在评分表上可能都是7分左右。但前者要求攻击者先拿到手机，后者只要知道IP。现实世界里，后者会被黑产用扫描器全天候地毯式搜索，前者可能几年都没人碰。等级差异不在技术复杂度，在攻击面宽度。

有个做SaaS的朋友跟我聊过他们的定级逻辑。他们内部把漏洞分成四档：能直接拿到客户数据的算P0，能横向移动到其他租户的算P1，只能影响单个租户内部配置的算P2，剩下的是P3。听起来粗糙，但比死磕CVSS向量更实用。因为他们的客户最怕的就是数据串租户，一旦发生就是合同违约加监管问询，赔钱事小，牌照事大。

很多刚入行的安全工程师容易犯一个错：把漏洞等级和利用难度划等号。觉得难利用的就该降级。实际上，一个需要构造特定畸形包才能触发的拒绝服务漏洞，如果影响的是核心网关，照样得按最高优先级修。因为攻击者不需要自己构造，网上会有人放出利用工具。难度只影响漏洞公开后的被利用速度，不影响它被利用后的破坏力上限。

企业定级时还有个隐藏维度：修复成本。一个需要重构认证模块才能修的高危漏洞，和一个改一行配置就能堵住的中危漏洞，排期顺序经常反过来。这不是不重视安全，是工程现实。改一行配置今晚就能上线，重构认证模块要排三个月。那这三个月里，中危漏洞可能被利用一百次，高危漏洞反而因为利用条件苛刻一直没动静。风险是概率乘影响，不是单看等级标签。

我自己的习惯是，拿到一个漏洞先问三个问题。第一，最坏情况下攻击者能拿到什么？第二，他现在就能拿到，还是需要等某个条件？第三，如果这个漏洞明天被公开在推特上，我今晚能睡着吗？第三个问题最诚实。睡不着的那种，不管CVSS给几分，都按最高级处理。

漏洞等级是给人看的，给人排优先级用的。别被评分表绑架，也别凭感觉拍脑袋。把业务场景、数据流向、攻击者动机和修复成本放一起看，那个最终的数字才有意义。否则，再精确的评分也只是一串好看但没用的数字。

(责任编辑：娱乐)