漏洞查询平台

凌晨两点，漏洞安全圈的查询老张给我发了条微信：“CVE-2024-3400 你查了没？Palo Alto 那个洞，CVSS 10.0。平台”我打开漏洞查询平台，漏洞输入编号，查询页面刷出来那一瞬间——没有补丁，平台没有缓解措施，漏洞只有一行冷冰冰的查询“PoC 已公开”。老张在屏幕那头骂了一句。平台

这就是漏洞漏洞查询平台存在的意义。它不是查询什么高深的东西，说白了就是平台一个数据库，把散落在邮件列表、漏洞厂商公告、查询安全研究员的平台博客、甚至暗网论坛里的漏洞信息归拢到一块儿。听起来简单，做起来要命。

信息从哪来

NVD 是最常被引用的那一个，美国国家标准与技术研究院维护的。每个 CVE 编号进去，它给你 CVSS 评分、受影响产品列表、参考链接。但 NVD 有个老毛病：更新慢。一个漏洞从提交到 NVD 完整收录，有时候要等几周。这几周里攻击者可没闲着。

所以真正干活的人不会只看 NVD。CVE 官网看原始描述，厂商自己的安全公告看补丁状态，GitHub 上搜 PoC 仓库看有没有人已经写出利用代码，Twitter 上跟几个靠谱的研究员看他们怎么讨论。漏洞查询平台做的事，就是把这些来源串起来。国内的话，CNNVD 和 CNVD 是两个主要的，侧重点不太一样——CNNVD 跟 CVE 的映射做得更细，CNVD 对国内厂商的覆盖更全。

我自己的习惯是同时开三个标签页：NVD 看评分和参考，CNNVD 看中文描述和国内影响范围，再加一个 VulDB 看有没有野利用记录。三个对不上的时候，以厂商公告为准。

评分这东西，别全信

CVSS 评分是个参考，不是圣旨。同样是 9.8 分，一个需要物理接触才能触发的漏洞，和一个能通过互联网直接打进来的 RCE，实际威胁完全不是一个量级。但平台页面上并排显示两个 9.8，新手很容易懵。

更麻烦的是，有些漏洞的 CVSS 评分本身就有争议。厂商给自己产品打分的时候手松一点，第三方评估机构打的时候手紧一点，差个一两分很常见。我见过一个漏洞，NVD 给 7.5，厂商自己给 5.3，理由是“利用需要特定配置”。后来 PoC 出来了，默认配置就能打。厂商默默把分数改了。

所以看平台上的数据，得带着脑子。评分旁边那行“利用条件”和“影响范围”比数字本身重要得多。

平台之外的事

漏洞查询平台还有个隐性功能：帮你判断优先级。一个系统里跑着几百个组件，每天新爆出来的漏洞几十个，你不可能每个都修。平台给的过滤条件——是否有 PoC、是否在野利用、是否远程可利用——这些才是决定你先修哪个的关键。

我一般会设一个规则：CVSS ≥ 8.0 且有公开 PoC 的，当天处理；CVSS ≥ 9.0 但无 PoC 的，一周内处理；剩下的排期。这个规则不完美，但比拍脑袋强。

老张后来跟我说，那个 Palo Alto 的洞他连夜打了补丁。不是因为 CVSS 10.0 吓人，是因为平台上“PoC 已公开”那行字下面，有人贴了利用成功的截图。这才是漏洞查询平台最值钱的地方——它不替你决策，但它把决策需要的信息摆在你面前，快、准、不废话。

用久了你会发现，真正好用的平台不是功能最多的那个，是更新最快的那个。漏洞这件事，时间就是一切。