在 HTB 打靶機時，我們通常有相對明確的目標範圍。但如果把場景換成企業環境，光是一份弱掃報告，就可能列出數百甚至上千筆發現。

面對這麼多線索，如果我是執行授權測試的紅隊成員，該先花時間驗證哪一個？

這個問題，我一開始最直覺的想法就是：打分數最高的那個！

CVSS 9.8 跟 CVSS 5.2，那是必須打高分的吧？！

但在整理與學習的過程中，我才發現，自己的想像很像下方這張圖：以為找到一個高分漏洞，接下來就是一路往終點前進，實際上卻還有很多條件需要確認。

經過這次的經驗後發現我自己只是一個看到 CVSS 很高分就會興奮的菜鳥，我連 CVSS 的細節是甚麼都不會看。於是我決定要來學習除了要學會怎麼看 CVSS 以外，還要學習看其他的指標來好好規劃自己的攻擊路徑。

甚麼是 CVSS？

CVSS 的全名是 Common Vulnerability Scoring System，也就是通用漏洞評分系統，它是由一個促進全球資安團隊合作的國際非營利組織－FIRST 所維護的漏洞嚴重程度評估框架。

它會根據漏洞的利用條件與技術影響，產生嚴重度分數。因此，分數背後其實包含很多資訊。
例如：

• 攻擊是否能透過網路進行？
• 攻擊者事前需要什麼權限？
• 是否需要其他使用者參與？
• 成功利用後，是否會影響資料的機密性、完整性或服務可用性？

根據官方的說明，在 CVSS v3.1 包含三組評估指標：

1. Base：描述漏洞本身不隨時間或使用者環境改變的固有特性。
2. Temporal：描述會隨時間改變的特性，包括利用程式成熟度、修補方案狀態與漏洞資訊可信度。
3. Environmental：描述與特定使用者環境相關的特性。
   一般大家看到的數字通常是 Base 分數，因為它是經過評分過後的不會隨著時間改變。
   參考資料：Common Vulnerability Scoring System v3.1

不過，單看 CVSS 基本分數，還不足以判斷漏洞在眼前的目標上能不能被利用。 我仍然需要確認：

• 目標使用的版本與設定，是否符合漏洞的觸發條件？
• 從我目前的網路位置，是否能接觸到有問題的功能？
• 利用前需要的權限或使用者互動，是否已經具備？

因此，看到高分漏洞後，先建立一個可以驗證的假設，再決定是否投入更多時間：

1. 理解漏洞成因與必要條件：閱讀公告與研究文章，釐清資料如何流動、哪個檢查出了問題，以及漏洞成立需要哪些條件。
2. 在 Lab 中驗證假設：建立能呈現關鍵條件的最小測試環境，觀察漏洞是否能重現。如果失敗，確認是環境不符、操作有誤，還是假設本身需要修正。
3. 整理最小重現步驟與影響：重現成功後，逐一確認哪些步驟與條件不可缺少，並記錄實際取得的權限或能力。Lab 成功仍需對照目標環境，才能判斷是否適用。

以上是我目前對今天的主題的簡單分享，今天分享的內容可能會有遺漏的地方...因為我沒有當紅隊的經驗也沒有認真實際打過，我花了不少時間閱讀相關資料，但因為還沒有紅隊實務經驗，也尚未完整實作驗證，對流程的理解仍有需要確認的地方。
內容如果有誤或者需要改善的地方，歡迎大家指教！

感謝大家的收看，我們明天見！