💡 什麼是 OWASP Top 10？在進行資安檢測或撰寫滲透測試報告時，我們不可能漫無目的地搜尋漏洞。這時就需要一個客觀且受業界公認的標準框架來做指導——那就是 OWASP Top 10。OWASP（開放 Web 軟體安全計畫） 是一個全球性的非營利組織，致力於提升軟體的安全性。每一至四年，OWASP 會彙整來自全球數萬家企業與資安機構的實戰數據，列出目前威脅最大、最常見的十項 Web 應用程式安全風險。對於資安新手來說，OWASP Top 10 就是最權威的漏洞學習地圖與防禦指南！📊 漏洞風險怎麼評估？CVSS 共通漏洞評分系統發現漏洞後，我們該如何向企業管理層或開發團隊說明這個漏洞到底有多嚴重？這就需要用到 CVSS（Common Vulnerability Scoring System，共通漏洞評分系統）。CVSS 是一個開放且標準化的漏洞風險評估機制，最終會計算出一個 0.0 到 10.0 分 的分數：風險等級CVSS 分數範圍範例與處置建議Critical（嚴重）9.0 - 10.0未授權的 RCE（遠端程式碼執行）、資料庫直接洩漏。（需立即修復）High（高）7.0 - 8.9SQL 注入、儲存型 XSS、權限提升漏洞。（短期內緊急修復）Medium（中）4.0 - 6.9反射型 XSS、CSRF、敏感資訊洩漏。（排入近期維護計畫）Low（低）0.1 - 3.9目錄目錄列出（Directory Listing）、資訊暴露。（有空時優化改善）None（無）0.0無資安影響或配置正常。🛠️ CVSS 評分的三大指標維度CVSS 評分主要由以下三個向量（Metrics）組成：基本指標（Base Metrics）： 漏洞本身的內在特性（不隨時間或環境改變）。攻擊途徑（Attack Vector, AV）： 網路（Network）、鄰近網路（Adjacent）、區域（Local）、物理（Physical）。攻擊複雜度（Attack Complexity, AC）： 低（Low）或高（High）。所需權限（Privileges Required, PR）： 無（None）、低（Low）、高（High）。使用者互動（User Interaction, UI）： 不需要（None）或需要（Required，如點擊連結）。影響範圍： 機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）（資安 CIA 三要素）受損程度。時間指標（Temporal Metrics）： 漏洞隨著時間變遷的狀態（是否有 PoC 攻擊腳本公布？官方是否已出修補包？）。環境指標（Environmental Metrics）： 漏洞在特定企業環境中的實質影響程度。