漏洞等级标准参考建议

这篇具有很好参考价值的文章主要介绍了漏洞等级标准参考建议。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

SRC漏洞定级标准

分资产,核心资产,一般资产,边缘资产

严重漏洞:

1.不需要登录直接获取设备root权限的漏洞,包括但不限于上传Webshell,任意代码执行,远程命令执行等

2.不需要登录直接导致严重的信息泄露漏洞,包括但不限于重要数据库的SQL注入、系统权限控制不严格等导致的敏感数据泄露漏洞等

3.不需要登录直接导致严重影响的逻辑漏洞,包括但不限于核心账户体系的帐密校验逻辑、支付逻辑漏洞等

高危漏洞:

1.需要登录的重要业务敏感数据信息泄露漏洞,包括但不限于重要用户信息、配置信息、数据文件信息等

2.需要登录的重要业务逻辑漏洞,包括但不限于权限绕过等

3.包含重要业务铭感信息的非授权访问,包括但不限于绕过认证直接访问管理后台、后台弱密码、可直接获取大量内网铭感信息的SSRF等

4.影响应用服务正常运转,包括但不限于应用层拒绝服务等

中危漏洞:

1.不需要交互对用户产生危害的安全漏洞,包括但不限于一般页面存储型XSS等

2.普通信息泄露漏洞,包括但不限于用户信息泄露和业务敏感信息泄露等

3.普通的逻辑设计缺陷和流程缺陷,包括但不限于越权查看非核心系统的订单信息、记录等

4.其他操作中度影响的漏洞,例如:没有敏感信息的SQL注入、无法回显的SSRF等

低危漏洞:

1.轻微信息泄露,包括但不限于路径信息泄露、svn信息泄露、phpinfo、日志文件、配置信息等

2.本地拒绝服务,包括但不限于客户端本地拒绝服务等引起的问题

3.可能存在安全隐患但利用成本很高的漏洞,包括但不限于需要用户连续交互的敏感安全漏洞,例如:解析漏洞、可被暴力破解接口等

无效:

1.不涉及安全问题的bug,包括但不限于功能缺陷、网页乱码、样式混乱、静态文件遍历、应用兼容性等问题

2.无法利用的漏洞,包括但不限于self-xss、无敏感操作的CSRF、无意义的异常堆栈、内网IP地址/域名泄露

3.不能直接反映漏洞存在的其他问题,包括但不限于纯属猜测的问题

扫描器的漏洞定级按照扫描的标准执行即可

第三方组件CVE漏洞的分级标准,可以采用CVSS(弱点评价体系)评分标准

https://www.first.org/cvss/calculator/3.1

常见漏洞定级标准

SQL注入漏洞

定级标准:

严重:能够利用SQL注入获取webshell

高危:能够验证存在的SQL注入

XSS漏洞

定级标准:

存储型XSS:高危

反射型XSS:低危

命令执行漏洞

定级标准:

严重:能够执行命令,能够验证出来

低危:无法验证出来,或者参数不可控

风险:无法验证出来,或者参数不可控

CRLF漏洞

定级标准:中危

HOST注入攻击

定级标准:低危

文件上传漏洞

定级标准:

严重:能够利用文件上传漏洞,或者租户其他漏洞,能够获取设备权限

高危:能够绕过防御规则,能执行js探针,给产品线演示出效果

中危:能够绕过防御规则,成功上传文件,但是文件重命名了。文件路径、文件名很难找到,或者需要利用条件竞争子类的漏洞去触发

低危:能够任意文件上传,但是没有执行权限,无法造成伤害

目录遍历漏洞

定级标准:中危

硬编码

定级标准:高危

目录穿越/任意文件读取/下载漏洞

定级标准:

高危:任意读取文件

中危:读取文件有限制

任意文件删除

定级标准:

严重:能够越目录删除任意文件

高危:被限制在web目录,能删除任意web文件

SSRF漏洞

定级标准:

严重:能够利用租户其他漏洞,获取设备权限

高危:能够结合各种协议造成实际伤害

中危:能够证明存在SSRF,可以利用漏洞探测内网

低危:证明存在SSRF,但是无法利用

URL重定向钓鱼

定级标准:

高危:能够组合其他漏洞进行利用

中危:绕过限制进行跳转

低危:能够直接进行重定向跳转

slow http ddos 漏洞

定级标准:中危

必须要求修复

未授权访问漏洞

定级标准

高危:能够未授权访问到敏感文件,泄露铭感信息

中危:发现未授权访问漏洞,没有发现敏感文件

HTML注入

定级标准:低危

业务DDOS漏洞

定级标准:高危

垂直越权漏洞

定级标准:

高危:能够垂直越权进行增删改

中危:垂直越权查看敏感信息

低危:垂直越权一些HTML页面或者查看一些没有敏感信息的接口

水平越权

定级标准:中危

文件枚举漏洞,暴力破解漏洞,用户枚举漏洞,验证码绕过漏洞绕过前端校验,密码设定不符合安全规定

定级标准:低危

如何能结合其他漏洞利用的,可以提升到中危,高危

信息泄露

定级标准

高危:泄露账号密码等以直接利用的敏感信息

中危:泄露一些配置等无法直接利用的信息

低危:泄露一些非敏感信息

缓冲区溢出

定级标准:高危

短信轰炸、邮件轰炸

定级标准:中危

高危:能演示出DDOS的效果

CSRF漏洞

高危:利用CSRF漏洞重置/修改密码

中危:利用CSRF漏洞曾删改查配置

JSONP劫持漏洞

定级标准:低危

中危:能获取敏感信息文章来源地址https://www.toymoban.com/news/detail-476156.html

到了这里,关于漏洞等级标准参考建议的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • 等级保护测评之MySQL安全漏洞

    近日公司客户要进行等保测评,查出来MySQL存在密码策略漏洞以及登陆失败处理漏洞,故针对这两个问题进行修复。 解决该问题需要安装mysql的两个插件: validate_password、connection_control.so mysqlshow plugins;                           --查看是否安装了插件  我这里已经安装了对

    2023年04月22日
    浏览(33)
  • 全国青少年软件编程等级考试Python标准解读(1_6级)

    考核性质: 全国青少年软件编程等级考试标准(Python语言)由中国电子学会科普培训与应用推广中心和北京大学信息科学技术学院共同制定。由全国青少年电子信息科普创新联盟标准工作组开发,由中国电子学会普及工作委员会审核通过,适用于由中国电子学会举办的全国青

    2024年02月05日
    浏览(82)
  • kafka参数配置参考和优化建议 —— 筑梦之路

    对于Kafka的优化,可以从以下几个方面进行思考和优化: 硬件优化 :使用高性能的硬件设备,包括高速磁盘、大内存和高性能网络设备,以提高Kafka集群的整体性能。 配置优化 :调整Kafka的配置参数,包括消息存储、副本数、日志段大小、缓冲区大小等,以提高Kafka的吞吐量

    2024年01月22日
    浏览(32)
  • 漏洞介绍及修复建议(漏洞汇总,建议收藏后期会不断更新)

    目录 未分类 Host 头攻击(高危) 域名访问限制不严格(高危) URL 重定向(中危) 会话劫持漏洞(中危) 会话固定漏洞(中危) DNS 域传送漏洞(中危) 检测到网站被黑痕迹(高危) 传输层保护不足漏洞(中危) 服务器启用了 TRACE Method 方法 (中危) 点击劫持漏洞(X-Fra

    2024年02月09日
    浏览(49)
  • Java代码漏洞检测-常见漏洞与修复建议

    背景: 在工作中,项目交付团队在交付项目时,客户方可能会有项目安全要求,会使用一些第三方工具(奇安信等)对项目代码进行扫描,特别是一些对安全性要求比较高的企业,比如涉及到一些证券公司、银行、金融等。他们会在项目上线前进行代码安全检测,通过了对方

    2024年01月16日
    浏览(36)
  • 【国家参考文献标准GB/T 7714—2015】

    GB/T 7714—2015 2.1 参考文献著录方法几种主要类型的参考文献(专著、专著中的析出文献、连续出版物、连续出版物中的析出文献、专利文献、电子文献等)的著录项目与格式要求如下: 2.1.1 专著(图书 )[M]指以单行本或多卷册形式,在限定期限内出版的非连续出版物。包括

    2024年02月16日
    浏览(48)
  • 故障定级和定责

    故障管理的第一步是对故障的理解,只有正确地面对故障,我们才能够找到更合理的处理方式。 这便需要做两个工作:一是跟踪线上故障处理和组织故障复盘,二是制定故障定级定责标准,同时有权对故障做出定级和定责。 所以,这里的一个关键就是我们要有明确的故障定

    2023年04月13日
    浏览(25)
  • Seurat | 强烈建议收藏的单细胞分析标准流程(基础质控与过滤)(一)

    作为现在 最火 的 scRNAseq 分析包, Seurat 当之无愧。😘 本期开始我们介绍一下 Seurat 包的用法,先从 基础质控 和 过滤 开始吧。🥳 3.1 读取10X文件 这里我们提供一个转成 gene symbols 的可读文件,如果大家拿到的是 Ensemble ID ,可以用之前介绍的方法进行转换。 3.2 创建Seurat对象

    2024年02月08日
    浏览(59)
  • CTF/AWD竞赛标准参考书+实战指南:《AWD特训营》

    随着网络安全问题日益凸显,国家对网络安全人才的需求持续增长,其中,网络安全竞赛在国家以及企业的人才培养和选拔中扮演着至关重要的角色。 在数字化时代,企业为了应对日益增长的攻击威胁,一般都在大量部署安全产品、安全设备,忙于查看各种安全设备、安全运

    2024年02月08日
    浏览(47)
  • 密码爆破漏洞详解——黑客必修入门操作( 建议收藏 )

    隔壁老张: “狗剩啊, 隔壁xx村的王姐家的女娃好漂亮,我想盗她qq啊, 你帮我个忙呗!” 狗剩: “我不会呀!” 村里大妈:“那个狗剩啊, 连盗个qq号都不会,他妈还好意思说他是学网络安全当黑客的” 密码爆破又叫 暴力猜解 , 简单来说就是将密码逐个尝试, 直到找出真正的密

    2024年02月07日
    浏览(58)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包