cvss打分漏洞盒子

凌晨两点，打分某金融科技公司的漏洞安全工程师老周盯着屏幕上的漏洞报告，眉头拧成了疙瘩。打分同一个SQL注入点，漏洞扫描器打10分，打分人工复核却只给6.5分。漏洞这差距不是打分技术误差，而是漏洞CVSS打分机制在真实场景里的"人格分裂"。

CVSS（通用漏洞评分系统）像一把刻度尺，打分理论上能精确丈量每个漏洞的漏洞杀伤力。但尺子本身不会思考——它把"攻击复杂度"设为低，打分却不管这个接口藏在三层防火墙后面；它给"机密性影响"记满分，漏洞却不知道数据库里存的打分都是脱敏测试数据。老周后来跟我说："分数只是漏洞起点，不是打分终点。真正要命的是那些打了8分却被业务方无视的漏洞，因为它们看起来'不够严重'。"

漏洞盒子平台上的案例更扎心。去年有个开源组件漏洞，CVSS给了9.8的"灾难级"评分，吓得甲方连夜开会。结果一排查，该组件只在测试环境跑过两次，生产环境压根没部署。相反，某个CVSS只有4.3的"低危"目录遍历漏洞，却因为配合着弱口令，让攻击者摸到了客户真实手机号。分数低不代表风险低，就像体重秤显示你偏瘦，不代表你免疫所有疾病。

我见过最荒唐的打分场景：某厂商给自家产品漏洞打分，攻击向量选"网络"（最远程的攻击路径），攻击复杂度选"低"（最容易利用），影响程度全选"高"（最严重破坏）。这套满分操作下来，漏洞是显得很吓人，可实际利用需要物理接触服务器，还得先骗过门禁保安。CVSS公式不会问你"现实吗"，它只按既定参数机械计算。这就像用菜谱评分系统去评价一幅画——工具本身没错，错在硬套。

那CVSS就一无是处了？也不是。它最大的价值是提供标准化语言，让不同团队能快速对齐"这漏洞大概多疼"。但聪明的安全团队早学会了"打分后校准"：先看漏洞在自家资产里的暴露面——是公网可访问还是内网隔离？再看业务影响——是核心交易链路还是边缘查询接口？最后结合威胁情报——有没有在野利用POC？这三板斧下来，原本9.8分的漏洞可能降到6分，而4.3分的漏洞反而该升到8分。

漏洞盒子里的老白干这行十二年，他有个土办法：把CVSS分数当参考价，但最终决策看"三实"——实际可达性、实际利用难度、实际业务损失。他说："评分系统是地图，不是地形本身。地图上标着'平坦'的地方，走过去可能踩进沼泽。"

说到底，CVSS打分是个精密的简化模型，它擅长在统一框架里比较漏洞，却抓不住每个系统独特的"体质"。漏洞盒子存在的意义，与其说是给漏洞贴分数标签，不如说是逼着每个安全负责人回答那个最原始的问题：这个漏洞，在我们这片具体的土地上，到底能炸出多大的坑？