漏洞评价

一个CVE编号躺在邮件里，漏洞评像一颗哑弹。漏洞评安全研究员花了三周逆向出来的漏洞评漏洞，厂商回复“已知晓，漏洞评将在下个版本修复”，漏洞评然后就是漏洞评漫长的沉默。这种等待让人抓狂，漏洞评因为漏洞的漏洞评价值是随时间衰减的——零日漏洞是钻石，一星期后是漏洞评黄金，一个月后是漏洞评废铁。

我见过最离谱的漏洞评漏洞评价体系来自某大厂内部。他们给漏洞打分，漏洞评不看实际危害，漏洞评只看是漏洞评不是“核心产品”。一个能打穿所有内部系统的漏洞评OA漏洞，因为不在考核范围内，被评为“低危”。另一个只能影响边缘功能的小bug，因为带上了旗舰产品的名字，直接拉满“严重”。这他妈不是评价漏洞，这是评价KPI。

漏洞评价的真正难点在于，它永远是个预测问题。你没法等攻击真的发生了再评估危害，那就晚了。所以评价必须基于攻击链的推演——这个漏洞能碰触到什么数据？能横向移动吗？能持久化吗？一套组合拳下来，单个“低危”的信息泄露可能变成“严重”的权限获取。可惜多数评价体系是静态的，漏洞过了首轮评估就盖棺定论，没人愿意回头看攻击路径的演进。

换个角度说，漏洞评价也是对人性的揣测。攻击者不会按你的评分标准选目标，他们只关心性价比。一个评分7.8的中危漏洞，如果利用代码公开了、目标系统存量巨大，那它实际价值远超那些躺在PPT里的9.8分“纸面漏洞”。2021年Log4j就是活例子——最初有人把它评为“中危”，直到核弹级的利用方式被公开，全行业才如梦初醒。评价漏洞的人要是没点实战嗅觉，光靠CVSS公式套分，迟早被现实打脸。

我自己做漏洞报告时，最烦那种“高危”标签贴得飞起、却连个PoC都不给的评价。漏洞值多少钱，不是看它多能唬人，而是看你能拿出什么证据链。一个带完整利用链的“中危”，比一个只有概念验证的“严重”值钱十倍——前者能直接转化为安全产品的检测规则，后者只是给管理层的安慰剂。

说穿了，漏洞评价是门手艺活，不是流水线质检。它需要逆向工程的耐心、攻击者思维的毒辣，还有对业务系统的敬畏。那些靠自动扫描器输出分数就拍板的行为，跟看星座决定婚姻没区别。漏洞的价值从来不是数字本身，而是数字背后那些能看懂攻击逻辑、能预判攻防博弈的人。可惜这样的人太少了，所以漏洞评价才经常变成笑话。