CVSS 评分方法
该技能是一个面向 CVSS（通用漏洞评分系统）v3.1 与 v4.0 的参考知识库，涵盖指标定义、评分指导与实际应用，用于为漏洞评分等场景提供参考。
知识库内容
CVSS v3.1
CVSS v3.1 是使用最广泛的漏洞评分系统，通过基础、时间、环境三组指标给出 0.0 至 10.0 的分数。
基础指标
基础指标表示漏洞随时间与环境保持不变的固有特征。
攻击向量（AV）：漏洞如何被利用，包括网络（N，可通过网络利用，无需特殊访问）、相邻（A，需要相邻网络访问，如同局域网、蓝牙）、本地（L，需要本地访问，如 shell、物理键盘、本地应用）、物理（P，需要物理接触设备）。
攻击复杂度（AC）：攻击者无法控制的条件，低（L，无特殊条件要求）、高（H，需要特定条件，如竞争条件、中间人位置、特定配置）。
所需权限（PR）：利用前需要的权限级别，无（N，无需认证）、低（L，基本用户级访问）、高（H，较高权限，如管理员）。
用户交互（UI）：除攻击者外是否需要用户参与，无（N，无需用户交互）、需要（R，用户必须执行操作，如点击恶意链接、打开文件）。
范围（S）：利用是否影响脆弱组件之外的资源，不变（U，影响限于脆弱组件）、改变（C，影响超出脆弱组件，如虚拟机逃逸、XSS）。
影响指标（C/I/A）：对机密性、完整性、可用性的影响，无（N，无影响）、低（L，有限影响、部分数据泄露或修改）、高（H，机密性、完整性或可用性完全丧失）。
严重性评级：0.0 无；0.1–3.9 低；4.0–6.9 中；7.0–8.9 高；9.0–10.0 严重。
常见评分示例
SQL 注入（未认证、数据提取）：向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N，评分 9.1（严重）。理由：网络可达、无复杂度、无权限、无交互、高机密性与完整性影响。
反射型 XSS：向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N，评分 6.1（中）。理由：网络可达但需要用户交互，范围改变（浏览器上下文），单次影响低。
存储型 XSS（管理面板）：向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N，评分 5.4（中）。理由：注入需要低权限，仍需要受害者交互，范围改变。
远程代码执行（未认证）：向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，评分 9.8（严重）。理由：最坏情况，网络可达、无阻碍、系统完全失陷。
本地提权（内核）：向量 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H，评分 7.8（高）。理由：需要本地访问与低权限，但可获得完全控制。
IDOR（数据暴露）：向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N，评分 6.5（中）。理由：需要认证（低权限），读取数据但不修改。
SSRF（云元数据）：向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N，评分 8.6（高）。理由：未认证、范围改变（访问云元数据服务）、高机密性影响（凭据）。
时间指标
时间指标根据随时间变化的因素调整基础分。
利用代码成熟度（E）：未定义（X，默认不调整）、未验证（U，无可用利用代码）、概念验证（P，有 PoC 但不实用）、可用（F，有可用利用）、高（H，可靠自动化利用，如蠕虫、Metasploit 模块）。
修复级别（RL）：未定义（X，默认）、官方修复（O，厂商补丁可用）、临时修复（T，有变通方案）、非官方缓解（W，非官方缓解措施）、不可用（U，无修复或变通方案）。
报告可信度（RC）：未定义（X，默认）、未知（U，未经确认的报告）、合理（R，多个来源、部分细节）、已确认（C，厂商确认、有详细分析）。
环境指标
环境指标通过修改影响指标并加入安全要求，为特定组织环境定制分数：可调整任意基础指标以反映实际环境；按资产业务关键性将机密性/完整性/可用性要求评为低/中/高。
CVSS v4.0
CVSS v4.0（2023 年 11 月发布）提供更细粒度评分与额外指标组。与 v3.1 的关键差异：移除范围，改为明确的“后续系统”影响指标；新增攻击要求（AT）指标，替代攻击复杂度的部分方面；新增补充指标（可自动化、恢复、价值密度、漏洞响应工作量、提供方紧急度）；威胁指标替代时间指标，简化威胁情报整合；命名法为 CVSS-B（仅基础）、CVSS-BT（基础+威胁）、CVSS-BE（基础+环境）、CVSS-BTE（全部）。
新增攻击要求（AT）指标：无（无特殊部署或执行条件）、存在（需要特定条件，如竞争条件、特定配置、中间人位置）。
后续系统影响（替代范围）：分别为脆弱系统与后续系统给出机密性、完整性、可用性影响评级（若影响跨越边界）。
评分最佳实践
评分针对漏洞而非利用：基础分反映最合理的最坏结果，而非特定利用技术。
范围关乎信任边界：范围改变意味着组件 A 的漏洞跨信任边界影响组件 B（如 XSS：浏览器是脆弱组件，Web 应用会话受影响）。
攻击复杂度反映条件而非技能：AC:H 表示必须存在特定条件（竞争条件、特定配置），而非攻击者需要高超技能。
用户交互意味着受害者操作：攻击者必须说服用户做某事，点击链接算，处于同一网络不算。
用环境评分反映实际风险：隔离系统中的严重 CVE 与互联网暴露服务器上的同一 CVE 不同，环境指标可体现这一点。
优先级与严重性
CVSS 提供严重性（漏洞有多严重），优先级（先修什么）需要额外上下文：
因素与来源及其对优先级的影响：活跃利用（CISA KEV、威胁情报，大幅提升优先级）；利用可用性（Exploit-DB、Metasploit，提升优先级）；EPSS 分数（FIRST EPSS，基于概率的紧迫度）；资产关键性（业务上下文，放大或降低优先级）；暴露程度（网络架构，互联网暴露远高于内部）；补偿控制（安全架构，控制强时可能降低优先级）；修复可用性（厂商公告，无修复则只能补偿控制）；修复工作量（工程评估，低成本修复优先以快速见效）。
反模式
仅用 CVSS 基础分排序：基础分忽略环境上下文与威胁情报。需要无人使用的配置且无已知利用的 CVSS 9.8 漏洞，优先级可能低于已有 Metasploit 模块并在野活跃利用的 CVSS 7.0。
评分膨胀：把每项指标拉满以获取最高分。应准确评分而非夸张。
忽略范围：范围改变常被误判，它特指漏洞跨越安全权威边界。
把 CVSS 当作风险分数：CVSS 衡量技术严重性；风险 = 严重性 × 可能性 × 资产价值，CVSS 本身不是风险。
对所有实例用一个分数：同一 CVE 在不同环境有不同环境分。面向公网应用的 SQL 注入与内部工具的同一缺陷风险不同。
参考
CVSS v3.1 规范（FIRST）、CVSS v4.0 规范（FIRST）、CVSS v3.1 计算器（FIRST）、CVSS v4.0 计算器（FIRST）、EPSS 利用预测评分系统、CISA 已知被利用漏洞目录、NVD 国家漏洞数据库。