漏洞定级标准参考

SRC漏洞定级标准

分资产,核心资产,一般资产,边缘资产

严重漏洞:

1.不需要登录直接获取设备root权限的漏洞,包括但不限于上传Webshell,任意代码执行,远程命令执行等

2.不需要登录直接导致严重的信息泄露漏洞,包括但不限于重要数据库的SQL注入、系统权限控制不严格等导致的敏感数据泄露漏洞等

3.不需要登录直接导致严重影响的逻辑漏洞,包括但不限于核心账户体系的帐密校验逻辑、支付逻辑漏洞等

高危漏洞:

1.需要登录的重要业务铭感数据信息泄露漏洞,包括但不限于重要用户信息、配置信息、数据文件信息等

2.需要登录的重要业务逻辑漏洞,包括但不限于权限绕过等

3.包含重要业务铭感信息的非授权访问,包括但不限于绕过认证直接访问管理后台、后台弱密码、可直接获取大量内网铭感信息的SSRF等

4.影响应用服务正常运转,包括但不限于应用层拒绝服务等

中危漏洞:

1.不需要交互对用户产生危害的安全漏洞,包括但不限于一般页面存储型XSS等

2.普通信息泄露漏洞,包括但不限于用户信息泄露和业务铭感信息泄露等

3.普通的逻辑设计缺陷和流程缺陷,包括但不限于越权查看非核心系统的订单信息、记录等

4.其他操作中度影响的漏洞,例如:没有敏感信息的SQL注入、无法回显的SSRF等

低危漏洞:

1.轻微信息泄露,包括但不限于路径信息泄露、svn信息泄露、phpinfo、日志文件、配置信息等

2.本地拒绝服务,包括但不限于客户端本地拒绝服务等引起的问题

3.可能存在安全隐患但利用成本很高的漏洞,包括但不限于需要用户连续交互的敏感安全漏洞,例如:解析漏洞、可被暴力破解接口等

无效:

1.不涉及安全问题的bug,包括但不限于功能缺陷、网页乱码、样式混乱、静态文件遍历、应用兼容性等问题

2.无法利用的漏洞,包括但不限于self-xss、无敏感操作的CSRF、无意义的异常堆栈、内网IP地址/域名泄露

3.不能直接反映漏洞存在的其他问题,包括但不限于纯属猜测的问题

扫描器的漏洞定级按照扫描的标准执行即可

第三方组件CVE漏洞的分级标准,可以采用CVSS(弱点评价体系)评分标准

https://www.first.org/cvss/calculator/3.1

常见漏洞定级标准

SQL注入漏洞

定级标准:

严重:能够利用SQL注入获取webshell

高危:能够验证存在的SQL注入

 

XSS漏洞

定级标准:
存储型XSS:高危

反射型XSS:低危

 

命令执行漏洞

定级标准:

严重:能够执行命令,能够验证出来

低危:无法验证出来,或者参数不可控

风险:无法验证出来,或者参数不可控

 

CRLF漏洞

定级标准:中危

 

HOST注入攻击

定级标准:低危

 

文件上传漏洞

定级标准:
严重:能够利用文件上传漏洞,或者租户其他漏洞,能够获取设备权限

高危:能够绕过防御规则,能执行js探针,给产品线演示出效果

中危:能够绕过防御规则,成功上传文件,但是文件重命名了。文件路径、文件名很难找到,或者需要利用条件竞争子类的漏洞去触发

低危:能够任意文件上传,但是没有执行权限,无法造成伤害

 

目录遍历漏洞

定级标准:中危

 

硬编码

定级标准:高级

 

目录穿越/任意文件读取/下载漏洞

定级标准:

高危:任意读取文件

中危:读取文件有限制

 

任意文件删除

定级标准:

严重:能够越目录删除任意文件

高危:被限制在web目录,能删除任意web文件

 

SSRF漏洞

定级标准:

严重:能够租户其他漏洞,获取设备权限

高危:能够利结合各种协议造成实际伤害

中危:能够证明存在SSRF,可以利用漏洞探测内网

低危:证明存在SSRF,但是无法利用

 

URL重定向钓鱼

定级标准:
高危:能够组合其他漏洞进行利用

中危:绕过限制进行跳转

低危:能够直接进行重定向跳转

 

slow http ddos 漏洞

定级标准:中危

必须要求修复

 

未授权访问漏洞

定级标准

高危:能够未授权访问到敏感文件,泄露铭感信息

中危:发现未授权访问漏洞,没有发现敏感文件

 

HTML注入

定级标准:低危

 

业务DDOS漏洞

定级标准:高危

 

垂直越权漏洞

定级标准:

高危:能够垂直越权进行增删改

中危:垂直越权查看敏感信息

低危:垂直越权一些HTML页面火折子一些没有敏感信息的接口

 

水平越权

定级标准:中危

 

文件枚举漏洞,暴力破解漏洞,用户枚举漏洞,验证码绕过漏洞绕过前端校验,密码设定不符合安全安全

定级标准:低危

如何能结合其他漏洞利用的,可以提升到中危,高危

 

信息泄露

定级标准

高危:泄露账号密码等以直接利用的敏感信息

中危:泄露一些配置等无法直接利用的信息

低危:泄露一些非敏感信息

 

缓冲区溢出

定级标准:高危

 

短信轰炸、邮件轰炸

定级标准:中危

高危:能演示出DDOS的效果

 

CSRF漏洞

高危:利用CSRF漏洞重置/修改密码

中危:利用CSRF漏洞曾删改查配置

 

JSONP劫持漏洞

定级标准:低危

中危:能获取敏感信息

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 


 

 

 

 

 

 

 

 


 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

你可能感兴趣的:(网络安全)