内容摘要：渗透测试漏洞分类：从攻击者视角看系统弱点 一个真实的案例：去年某金融公司做渗透测试，测试人员只用了一个未修复的SQL注入点，就拖走了整个用户数据库。整个过程不到十分钟，防火墙和WAF形同虚设——因为漏

渗透测试漏洞分类：从攻击者视角看系统弱点

一个真实的渗透案例：去年某金融公司做渗透测试，测试人员只用了一个未修复的测试SQL注入点，就拖走了整个用户数据库。漏洞整个过程不到十分钟，分类防火墙和WAF形同虚设——因为漏洞藏在业务逻辑里，渗透而不是测试网络层。这让我意识到，漏洞漏洞分类不能只看技术类型，分类更要看攻击者实际利用的渗透路径。

按攻击入口分类：最实用的测试维度

渗透测试中，我习惯把漏洞先分成三类：外部可达漏洞、漏洞内部横向漏洞、分类物理/社会工程漏洞。渗透外部可达的测试，比如暴露的漏洞RDP端口、未授权的API接口，攻击者从公网就能直接打。内部横向的，比如域控提权、共享文件夹弱口令，需要先拿到一个低权限shell才能碰。物理和社会工程类别常被忽略，但一次尾随进入机房插个U盘，比远程打三天漏洞效率高得多。

这种分类的实战价值在于：渗透测试报告里，客户最关心的是“外部攻击者能否直接打穿”。如果只写“存在XX漏洞”，客户没有感知。我通常直接标注“该漏洞可被未认证远程利用”——这句话比任何CVSS评分都吓人。

按OWASP Top 10分类：行业标准但不够用

OWASP把Web漏洞分成注入、失效认证、敏感数据泄露等十类。这套体系适合开发人员修bug，但渗透测试时有个问题：它把漏洞当孤立事件看。实际攻击链往往是“一个反射型XSS + 一个CSRF + 一个弱会话管理”组合起来，才能拿到管理员权限。单看每个漏洞都是中危，串起来就是致命。

我遇到过最典型的情况：一个上传接口只校验了Content-Type，没校验文件内容。攻击者改了文件头，绕过了检查，直接上传Webshell。这属于“不安全的文件上传”，但OWASP里没有单独分类，只能归到“其他”。分类体系滞后于攻击手法，是常态。

按风险等级分类：别迷信高危

渗透测试报告里常见“高危漏洞3个，中危5个，低危8个”。这种分类误导性很强。高危不等于容易被利用，比如一个需要物理接触才能触发的缓冲区溢出，理论上是高危，实际攻击面几乎为零。反过来，一个低危的目录列举漏洞，如果配合服务器版本信息泄露，可能成为后续攻击的跳板。

我的建议是：按可利用性 × 影响范围来分。可利用性看三个维度——是否需要认证、攻击复杂度、是否需要用户交互。影响范围看数据敏感度、系统关键性、能否横向移动。这样分出来的“紧急漏洞”才真正值得立刻修，而不是让客户被“高危”数量吓到。

个人观察：分类的终极目的是沟通

做了几年渗透测试，我发现漏洞分类最尴尬的地方是：技术分类和业务语言脱节。你跟财务总监说“存在服务端请求伪造”，他一脸茫然。但你说“攻击者可以借用你们服务器去攻击银行内部系统”，他立刻紧张起来。所以现在写报告，我总会加一个“业务影响”标签，比如“可导致客户隐私泄露”“可导致核心系统宕机”。

分类不是目的，是手段。一个漏洞分类体系，如果不能让甲方明白该先修什么、为什么修、不修会怎样，那再严谨也是废纸。渗透测试的价值不在于找出100个漏洞，而在于用最清晰的分类，让客户在24小时内做出正确的修复决策。至于用OWASP还是自己发明的分类法，真没那么重要。