授权与合规声明本文全部操作对象均为自建隔离靶场本机容器或隔离虚拟机涉及安全测试的环节必须以取得合法授权为前提。未经授权的渗透测试违反《中华人民共和国网络安全法》与《刑法》相关条款须承担相应法律责任。本文只讲环境配置、版本对照与靶场隔离不含任何攻击步骤、利用载荷与绕过手法请勿将文中环境指向任何非自有系统。一、同一个漏洞两个平台两个数1.1 两张截图的差别一个学弟发来两张截图。同一个漏洞他在两个站点各查了一次一个给的分数明显比另一个高一截。他问是不是有一个站算错了。这个问题问得对但答案大概率是两个都没算错。分数不一样最常见的成因不是谁算错了而是两边回答的根本不是同一个问题。一边答的是这个漏洞本身有多重另一边答的是这个漏洞在你这套环境里、按现在的威胁形势有多重。问题换了数自然跟着换。1.2 分数是「某一组假设下算出来的数」打个比方同一段路导航给你的预计耗时会因为你选现在出发还是明早八点出发而差出一大截。路还是那条路变的是前提。CVSS 把这层前提显式拆开了。规范开头第一句就把指标分成四组CVSS consists of four metric groups: Base, Threat, Environmental, and Supplemental.译过来就是 Base、Threat、Environmental、Supplemental 四组。CVSS-1这四组的区别不在重要程度而在这些假设在什么范围内成立。Base 描述的是不随时间变、也不随使用者环境变的那部分性质Threat 描述会随时间变的那部分Environmental 描述只跟你自己的环境有关的那部分Supplemental 是补充说明规范明确写了它不改变最终分数。CVSS-2所以用哪一组假设算的这句话落到实处就是用了哪几组指标。只拿 Base 算出来的数和 Base 叠加 Threat、Environmental 之后算出来的数本来就是两个不同的数。它们谁也不比谁更真它们各自对应一套前提。1.3 这篇只教读不教打分下面七章只干一件事让你看见公告里那串由斜杠拼起来的东西时知道它说了什么、以及它没说什么。有三件事本文不做。第一不教你怎么给一个漏洞打分——那需要你手里有资产、有威胁情报、有业务判断不是读一篇文章能学会的。第二不碰任何真实的漏洞实例通篇不给编号、不给分数因为平台实例页本次没有抓取核对任何某漏洞在某平台是多少分的写法都会变成编造CVSS-15待验证。第三不写复现——本文全程只对着公告的文字较劲。你只要记住开头这一句后面全是它的展开分数不是漏洞的属性是某一组假设下算出来的一个数。补一句出处本文对照的两份规范都来自 FIRST 官网v4.0 那份的文档版本号是 1.2核对日期为 2026-10-24。二、那串斜杠向量串的结构2.1 开头那段是标签不是指标公告里那串东西正式名字叫向量串。它长这样开头CVSS:4.0/。规范对它的定义是The CVSS v4.0 vector string begins with the label ‘CVSS:’ and a numeric representation of the current version, ‘4.0’.也就是说第一段CVSS:4.0只回答一个问题这是哪一版的记法。CVSS-3别小看这一段。它决定了后面所有段该怎么念。CVSS:3.1/开头的那串指标名字和取值范围跟 4.0 不是一套你把两串并排放着肉眼看着都是斜杠加字母实际是两种语言。第六章会把这两套语言逐项对上。2.2 顺序固定Base 一项都不能少向量串里段的顺序不是习惯问题是合法性问题。同一段规范接着写A vector string must contain metrics in the order shown in Table 23, every other ordering is invalid. All Base metrics must be included两句话两个硬约束顺序按规范里那张表来换成别的顺序就是无效串Base 那几项必须全部出现。CVSS-3这两个约束带来一个很实用的推论串的长度和段的排列本身就是信息。你不需要记住每个字母的含义只要看它是不是按规范顺序排的、Base 是不是齐的就能判断这条串能不能拿来跟别人比。排错顺序的串、缺 Base 项的串都不该进你的对比表。下面这两串只是记法示意不对应任何真实漏洞也不带分数CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H第一行是 4.0 的写法第二行是 3.1 的写法。看得出差在哪吗4.0 那行最后多了三项SC/SI/SA中间多了AT而 3.1 那行有一个S。这些差异不是排版是第六章要讲的结构性区别。想把段的顺序摆到眼前最笨也最有效的办法是把斜杠换掉。本机没有装任何 CVSS 工具下面两条都没有实际跑过⚠️代码待验证grep-oCVSS:4\.0/[^ ]*advisory.txt这行只是从一份文本里把向量串原样捞出来。它不判断对错只负责把那一串斜杠从一堆描述文字里拎出来。⚠️代码待验证grep-oCVSS:4\.0/[^ ]*advisory.txt|tr/\n|nl第二行把斜杠换成换行再编号一段占一行顺序对不对一眼就能看出来。这两条命令都写在隔离环境的文本文件上没有连接任何外部服务。2.3 省略的项按 X 处理X 不是零Base 必填所以省略这件事主要发生在 Base 之外的那几组上。规范对这种省略有明确规定omitted metrics are considered to have the value of Not Defined (X)省掉的指标按未定义X处理。CVSS-4这一句最容易被读歪。X 不是 0不是最轻也不是最重它的意思是这一项没有给出判断。把它当成最低值你会系统性低估把它当成最高值你会系统性高估。两种都错。它也解释了一类平台差异同一个漏洞一边把某一项填了具体值另一边留了 X。两边的串看起来只差几个字母可它们对我们知道什么的坦白程度不一样。读串的时候顺手看一眼有没有 X比记住每个字母的含义更有用。三、四组指标各管什么3.1 Base不随时间、不随环境变的那层底子Base 的定义是内在性质规范的原话是它constant over time and across user environments——不随时间变也不随使用者的环境变。CVSS-2它由五个描述攻击这件事有多难的指标加上两套描述打穿之后影响多大的指标构成。五个指标各自的含义规范是这么说的CVSS-5AV攻击者能多远地够到这个漏洞。规范的说法是攻击者在逻辑上和物理上离得越远这个值越大。AC攻击者为了绕开系统里已有的安全增强条件必须主动做多少可测量的动作。AT部署与执行上的前置条件也就是这漏洞要成立环境里得先满足哪些条件。PR攻击者在成功利用之前手上得先有多少权限。UI除了攻击者之外还得有一个真人参与。看清这五项的共同点它们问的都是要打成得先满足什么。AV 问距离AC 问要不要主动绕AT 问环境前提PR 问已有权限UI 问有没有别人帮忙。这是同一件事的五个侧面不是五种不同的严重程度。影响面则分成两套may include impact on the vulnerable system and/or the downstream impact on what is formally called the ‘subsequent system(s)’一套是被攻陷的那台系统另一套是它后面被牵连的系统。规范还补了一句没有外溢的时候后面那三项留 N。CVSS-63.2 Threat 与 Environmental会变的和随你家环境变的Base 之外的两组分的是两种变。Threat 管的是随时间变的那部分change over time。同一个漏洞上个月和这个月公开程度、利用的活跃度、有没有可用的缓解手段都可能不同这部分不该被钉死在漏洞的固有属性里。Environmental 管的是只跟你自己环境有关的那部分unique to a user’s environment。同一份代码跑在你笔记本的容器里和跑在机房核心区前面有几层隔离、后面挂着什么数据完全不是一回事。这部分只有使用方自己填得出来。这两组的区别值得单独记一句Threat 是大家都看得到、但会过期的信息Environmental 是只有你知道、也不会过期的信息。3.3 Supplemental唯一明说不改分的一组第四组最容易被误会。Supplemental 听起来像补充加分项但规范写得很清楚这组指标do not modify the final score不修改最终分数。CVSS-2它携带的是给人读的上下文不是给公式用的输入。所以看到一串向量里带着补充项别指望它把分数推高或压低——它对数字没有作用。把四组摆在一起分工就清楚了指标组它描述什么谁填会不会改最终分Base不随时间、不随环境变的内在性质公告分析人员、产品厂商、应用厂商会Threat随时间变化的那部分使用方组织会Environmental只与使用者环境有关的那部分使用方组织会Supplemental补充上下文规范引言未点名不会表里谁填这一列依据是规范引言的两句话Base 由漏洞公告分析人员、产品厂商或应用厂商给出Threat 与 Environmental 由使用方组织给出。CVSS-9这一列是全文的枢纽。它说明了一件事**同一个漏洞的分数不一样往往是因为填表的人站在不同的位置上。**厂商填的是自己的产品使用方填的是自己的环境两边看到的世界本来就不一样。四、分数是查表加插值不是四则运算4.1 规范自己怎么描述这个计算很多人以为 CVSS 是一套加权公式每项给个系数乘一乘加一加出个小数。规范不是这么写的vectors are clustered in sets called MacroVectorsThe score of a MacroVector is defined by a lookup table … The score of a vector within each MacroVector is defined by interpolation.先把向量按几个关键指标聚成宏向量每个宏向量的分数由一张查找表定义同一个宏向量内部各条向量的分数由插值定义。CVSS-7翻成人话归类查表再在表里的基准点之间按比例挪一点。整个过程里没有每项乘以权重再求和这一步。4.2 这条事实能挡掉三类错误推理第一类**“把某一项从低改到高分数一定涨一个固定值。”**不成立。插值是分段做的同样改一格落在不同的宏向量里挪动的幅度可以差很远。第二类**“两条串只差一个字母分数应该差不多。”**也不成立。差的那一格如果刚好把向量挪进了另一个宏向量落点就换了一张表。反过来两条看起来差好几个字母的串也可能落在同一格里插值之后差距很小。第三类**“我自己按权重算一遍能复现公告上的数。”**复现不了。除非你手里有那张查找表和插值规则否则算出来的只是另一个数。网上那些所谓计算器本质都是把这两样东西实现了一遍不是把公式抄了一遍——因为公式并不存在。这一节的用处不是让你会算而是让你放弃从单个字母反推分数的念头。看到这一项升了一档分数怎么只涨这么点这种疑问答案往往就在宏向量的归类上而不在任何一项的权重上。4.3 档位是另一张表而且是可选的数字之外公告里还会给一个定性档位。规范给了一张对照表CVSS-10定性档位对应的分数区间None0.0Low0.1–3.9Medium4.0–6.9High7.0–8.9Critical9.0–10.0这张表是量表不是任何一个漏洞的分数别拿它当例子用。同一段规范还有一句容易被跳过的话「The use of these qualitative severity ratings is optional」——用不用这套定性档位是可选的。CVSS-10这句话解释了一个常见困惑为什么有的公告只给数字不给档位有的给档位但用的词跟这张表对不上。因为档位是规范提供的便利不是强制输出。看到高危严重这类词先确认它是 CVSS 的档位还是发布方自己那套分级两者同名不同义的情况并不少见。顺便说一句档位这套东西在 3.1 和 4.0 之间没有改动两边是同一张表。CVSS-13这件事后面还会用到——它意味着高危这个词的含义没变变的只是算出数字的那套问法。五、为什么两个平台不一样5.1 谁填哪组两份不同的作业第三章那张表里谁填这一列是全文的枢纽这一章先把它说透。规范引言把填表的责任分给了两类人the Base metrics are specified by vulnerability bulletin analysts, product vendors, or application vendorsThe Threat and Environmental metrics are specified by consumer organizationsBase 由公告分析人员、产品厂商、应用厂商给出Threat 与 Environmental 由使用方组织给出。CVSS-9这个分工不是行政安排是信息可得性决定的。厂商知道自己产品里那段代码怎么写的却不知道你把它部署在哪、前面有几层网关、后面挂着什么库使用方正好相反。两边都只能填自己看得见的那一半。于是两个平台分数不同的第一种解释就出来了**它们在填两份不同的作业。**一个站给的是厂商视角的 Base 分另一个站补上了自己那套威胁与环境判断。前者不是错的它只是回答得少一些。这里有个容易踩的坑把分数高的那个当成更权威。分数高低跟权威性没关系跟这套假设有多贴合你的场景才有关系。如果补了 Environmental 的那个站它的环境假设跟你的环境不像它的数对你反而更没用。5.2 命名法B / BT / BE / BTE规范给了四个写法专门标明这个数是哪几组算的CVSS-B Base metrics; CVSS-BE Base and Environmental metrics; CVSS-BT Base and Threat metrics; CVSS-BTE Base, Threat, Environmental metricsCVSS-8四个后缀其实就是把用到的组名首字母拼在一起写法用了哪几组通常谁给能不能直接比CVSS-B只有 Base厂商、公告分析人员只能跟同为 B 的比CVSS-BTBase 加 Threat有威胁情报的使用方只能跟同一时间窗的 BT 比CVSS-BEBase 加 Environmental有资产清单的使用方只在自己组织内部有意义CVSS-BTEBase、Threat、Environmental做完整评估的使用方出不了自己组织的门这张表最该记住的是最后一列。BE 和 BTE 是给自己看的数它把你家的隔离层数、数据敏感度、暴露面都算进去了这些前提别人没有所以别人既复现不了也不该拿它跟自己的数比。还有一点Supplemental 不在任何一个后缀里。这跟第三章那条对得上——它不改分自然也就不进命名。看到分数先找后缀这个习惯能省掉很多争论。没有后缀的按上下文判断它至少是 Base-only有后缀的先看那个后缀跟你手里那个数是不是同一套。5.3 第三种可能CVSS 只是风险的输入还有一类不一致根本不在分数上而在用途上。规范对 CVSS 的定位写得很克制Consumers may use CVSS information as input to an organizational vulnerability management process that also considers factors that are not part of CVSS它是输入不是结论。规范紧接着列了一串不在 CVSS 范围内的因素包括监管要求、受影响的客户数量、金钱损失、生命与财产、声誉。CVSS-11这串东西没有一项塞得进向量串。所以这个漏洞要不要今晚加班修这个问题CVSS 答不了它能答的只是在这组假设下技术面有多重。于是两个平台的分歧还有第三种来源一个在给你技术评分另一个在给你处置建议两者背后的假设根本不是一回事。拿建议去跟分数比属于跨物种比较。这份「四组指标 四个后缀」的对照我压成了一页速查跟下面这个码放在一起了六、v3.1 和 v4.0 对着看6.1 三组变四组老公告和新公告分数不同很多人第一反应是平台偷偷改了算法。更常见的情况是它们用的根本不是同一版规范。v3.1 的组数是三组CVSS consists of three metric groups: Base, Temporal, and Environmental.Base、Temporal、Environmental。CVSS-12到了 4.0 变成四组多出一个 Supplemental而会随时间变的那部分在 4.0 里叫 Threat。CVSS-1组数一变“同一组假设这句话的含义就变了。3.1 里你把三组填满跟 4.0 里你把 Base 填满看着都是填完了”覆盖的范围不一样。6.2 影响指标一个开关拆成两套这是两版之间最大的一处结构差别。v3.1 的 Base 是 AV、AC、PR、UI、S、C、I、A 八项。CVSS-12其中 S 是一个范围开关用来区分影响留在被攻陷的那台系统内还是溢出到了后续系统。4.0 把这个开关拆了换成两套并列的影响指标VC、VI、VA 描述被攻陷的系统SC、SI、SA 描述后续系统。CVSS-14CVSS-6v3.1 Base: AV / AC / PR / UI / S / C / I / A v4.0 Base: AV / AC / AT / PR / UI / VC / VI / VA / SC / SI / SA上面两行不是命令是项数对照。一眼能看出两件事3.1 是八项4.0 是十一项4.0 那行多出来的AT和最后三项正好对应新增一项前置条件和影响面拆成两套。这个改动带来的直接后果是**同一个判断在新旧两版里要填的格子数不一样。**在 3.1 里用一个 S 就能表达的意思到 4.0 得拆到六项影响指标上其中三项专门描述后续系统每一项都有判断余地判断余地就是分数差异的来源。所以老公告和新公告不一样的另一半答案在这里不全是平台立场问题记法换代本身就换了问法。6.3 UI 三值、新增 AT档位没动还有两处小改动影响不算小。第一处是 UI。3.1 的 UI 是两个值4.0 变成三个值。CVSS-14多出来的那一档意味着要有人参与不再是非黑即白有些情形放在旧记法里只能二选一免不了要往某一头靠。第二处是 AT全称 Attack Requirements4.0 新增。它跟 AC 的分工要分清AC 问的是攻击者得主动做多少动作去绕开已有防护AT 问的是环境里得先具备哪些部署与执行条件。CVSS-5一个是要动手做什么一个是得先有什么。把这几处跟第四章那条连起来看还有一条别忘定性档位两张表一样五个档位、区间都没改。CVSS-13所以高危这个词的含金量没变变的是算出数字的问法。看到新公告的档位跟老公告一样不代表内容没变。对比项v3.1v4.0指标组三组Base、Temporal、Environmental四组Base、Threat、Environmental、SupplementalBase 项数八项十一项性状指标AV、AC、PR、UIAV、AC、AT、PR、UI影响指标S 一个范围开关加 C、I、AVC、VI、VA 描述被攻陷系统SC、SI、SA 描述后续系统用户交互 UI两个值三个值部署前置条件没有单独一项新增 AT不改分的补充组没有这一组有 Supplemental明说不改分命名法未见这套后缀本文未核到对应写法CVSS-B / BT / BE / BTE定性档位五档五档与 v3.1 相同七、读公告的四步7.1 四步拿到一串向量按这个顺序过一遍比逐个字母查词典快得多。认版本。串头是CVSS:3.1/还是CVSS:4.0/。版本认错后面每个字母的含义都会错位。看 Base 齐不齐、顺序对不对。Base 缺项、顺序被打乱的串按规范是无效串别拿去跟任何东西比。CVSS-3找后缀或者看有没有 Threat 与 Environmental 的值。这一步决定你手里是 CVSS-B 还是 CVSS-BTE。CVSS-8判断能不能比。同版本、同组、同假设三个条件都满足才叫可比。第三步最容易被跳过。很多人拿到分数就直奔结论根本没注意手里那个数是 B 还是 BTE于是把厂商视角和自家视角的两个数放进一张表排名次——这张表从第一行起就没有意义。7.2 三个不该做的比较跨版本比。3.1 和 4.0 的 Base 项数、影响指标写法都不一样两个数不是同一把尺子量出来的。要比先比问法再谈数字。跨组比。CVSS-B 跟 CVSS-BTE 的差别不是精度差别是假设范围的差别。一个只算了内在性质一个把威胁态势和你家环境都算了进去这两个数的大小关系说明不了任何事。拿 CVSS 当处置优先级。它只是输入。CVSS-11同样一个数落在核心库上和在测试机上该做的事完全不同这不是 CVSS 的缺陷是它刻意留出的边界。顺带说一条自查用的小命令。本机没有装任何 CVSS 相关工具下面这条没有实际跑过⚠️代码待验证grep-oCVSS:[0-9.]*/advisory.txt|sort|uniq-c它做的事很朴素把一份公告里出现过的版本标签都数一遍。如果同一份公告里既有 3.1 又有 4.0 的串说明发布方在不同时间点补过数据你手里的两串可能压根不是同一轮评估的产物。7.3 回到那两张截图那个学弟的问题现在可以拆成三问这两个数是哪一版规范算的各自用了哪几组指标是谁填的三问答完多半会发现两个数根本不构成矛盾——一个答的是这个漏洞本身有多重另一个答的是在这套威胁形势与环境假设下有多重。它们不是对同一个问题的两种答案是两个问题各自的答案。真正需要警惕的是另一种情况两个数看起来可比实际不可比而你又拿它做了决定。向量串的价值就在这儿——它把这个数是在什么前提下算的写在了明面上只要你肯读那串斜杠就不容易被一个孤零零的数字带走。第七章这四步我做成了可以对着公告逐条勾的检查表附表 A本文引用事实与官方出处对照表序号事实出处本文位置1CVSS 由四组指标构成Base、Threat、Environmental、Supplemental逐字FIRST《CVSS v4.0 Specification Document》引言Document Version 1.2第一章 1.2、第三章 3.1–3.32四组分工Base 不随时间与环境变Threat 随时间变Environmental 随使用者环境Supplemental 不改最终分逐字同上引言第一章 1.2、第三章 3.1–3.33向量串以CVSS:加版本号开头逐字同上§2第二章 2.14指标须按规范表格顺序出现其他顺序无效Base 指标必须全部包含逐字同上§2第二章 2.2、第七章 7.15省略的指标按 Not DefinedX处理逐字同上§2第二章 2.36Base 五个性状指标 AV/AC/AT/PR/UI 各自的定义逐字要点同上§2第三章 3.1、第六章 6.37影响指标可含被攻陷系统与后续系统两套无外溢时后续三项留 N逐字同上§2第三章 3.1、第六章 6.28向量聚为 MacroVector宏向量分数由查找表定义组内由插值定义逐字同上§7.1、§8第四章 4.1、4.29命名法 CVSS-B / BT / BE / BTE 四种写法逐字同上引言第五章 5.2、第七章 7.110Base 由公告分析人员、厂商给出Threat 与 Environmental 由使用方组织给出逐字同上引言第三章 3.3、第五章 5.111定性档位五档及区间该档位的使用是可选的逐字同上§5 Table 22第四章 4.312CVSS 是组织漏洞管理流程的输入监管要求、客户数、金钱损失、生命财产、声誉等不在其范围内逐字同上引言第五章 5.3、第七章 7.213v3.1 为三组Base、Temporal、EnvironmentalBase 含 AV/AC/PR/UI/S/C/I/A逐字FIRST《CVSS v3.1 Specification Document》引言、§1.1第六章 6.1、6.214v3.1 与 v4.0 的定性档位一致同为五档同区间v3.1 文档 §5 Table 14v4.0 文档 §5 Table 22第四章 4.3、第六章 6.315v4.0 以 VC/VI/VA SC/SI/SA 替代 S/C/I/A新增 ATUI 由两值变三值复合条目由 CVSS-5、CVSS-6、CVSS-12 的取值表推出属结构性差异第六章 6.2、6.316Base 项数 v3.1 为八项、v4.0 为十一项由第 6、13 行的指标清单直接计数得出非规范原文表述第六章 6.2、6.317待验证具体漏洞在不同平台上的分数差异实例本次未抓 NVD 与厂商公告实例页故全文不给编号、不给分数本文未核到第一章 1.318待验证本机未安装任何 CVSS 计算或查询工具全部命令块未实际运行本机核对2026-10-24第二、七章代码块附表 B术语速查表术语一句话解释向量串用斜杠把各指标取值拼起来的一行字符串是分数的输入记录指标组按假设适用范围划分的四类指标Base、Threat、Environmental、SupplementalBase描述漏洞内在性质不随时间与使用者环境变化Threat描述会随时间变化的威胁态势由使用方填写Environmental描述只与使用者自身环境有关的因素Supplemental补充上下文规范明写不修改最终分数宏向量MacroVector按关键指标把向量聚成的集合分数先按集合查表插值在同一宏向量内按偏离程度在基准点之间取分CVSS-B只用 Base 指标算出的分CVSS-BTBase 加 Threat 算出的分CVSS-BEBase 加 Environmental 算出的分CVSS-BTEBase、Threat、Environmental 三组算出的分XNot Defined省略指标时的默认取值意思是未给出判断既非最低也非最高定性档位None / Low / Medium / High / Critical 五档区间固定是否采用由发布方决定可比性同版本、同指标组、同假设三个条件同时满足两个数才谈得上比较写在最后这篇用到的资料写这篇文章时我把 v4.0 和 v3.1 两份规范的指标表并排对了一遍最费劲的是确认分数到底怎么算——规范写的是查表加插值不是加权求和这一点决定了后面所有推理的方向顺手也整理了几份配套的东西靶场环境对照表DVWA、upload-labs 在 Windows / macOS / Linux 三平台的可行性与推荐路径Web 安全学习路线图从基础打牢到安全管理四个阶段各学什么常用靶场清单每个靶场练什么、适合哪个阶段资料是我自己整理的放在下面这个码上扫码即可获取添加时备注「靶场」优先通过。拿到之后建议先看环境对照表那一份先把靶机跟宿主机隔开再回去对着公告读那串斜杠——顺序对不对、Base 齐不齐比记分数有用。
