拿到一份网站安全检测汇报，，，，，，，，最没用的作为就是只看一眼“通过”还是“不通过”。。。。。。。真正值钱的信息全在缝隙等级和建复建议里，，，，，，，，这两个处所读懂了，，，，，，，，汇报才有意思。。。。。。。今天就说说怎么把一份汇报看到底。。。。。。。

先看看缝隙等级到底怎么排

大无数检测汇报会把缝隙分成垂危、高危、中危、低危，，，，，，，，或者用CVSS评分来象征。。。。。。。垂危和高危通常意味着攻击者能够直接利用，，，，，，，，好比SQL注入、号令执行这类，，，，，，，，拿到汇报就切当回事。。。。。。。中危低危不代表能够忽视，，，，，，，，可能是逻辑缺点或者配置不当，，，，，，，，但被攻击的概率相对低一些。。。。。。。? 别被“低危”两个自飙了，，，，，，，，有些低危缝隙组合起来，，，，，，，，也能造成一条齐全的攻击链。。。。。。。？？？？？？？吹燃兜氖背剑，，，，顺手看一眼缝隙类型和触发前提，，，，，，，，比单纯记数字有效得多。。。。。。。

建复建议千万别直接照抄

汇报里写的建复建议往往很通用，，，，，，，，好比“升级到最新版本”“删除无用文件”“加安全过滤”。。。。。。。这些建议自身没错，，，，，，，，但直接复造粘贴进工单就太潦草了。。。。。。。你见过哪个线上业务系统能轻易升级到最新版？？？？？？？？兼容性谁掌管？？？？？？？？? 正确的做法是把建复建议当成参考，，，，，，，，结合自己网站的现实环境去调整。。。。。。。若是的确没法立即升级，，，，，，，，至少要加个一时缓解措施，，，，，，，，好比限度接见起源、关关某些职能模？？？？？？？椋，，，，先把风险压住再说。。。。。。。

高危和低危的优先级怎么定

好多人一看到高危缝隙就慌，，，，，，，，感触必须顿时建完。。。。。。。其实优先级不是只看等级，，，，，，，，还要看这个缝隙是不是露出在公网，，，，，，，，是不是容易被利用。。。。。。。一个内网系统的高危缝隙，，，，，，，，和一个挂在公网上的中危缝隙，，，，，，，，后者反而要更垂危。。。。。。。? 你能够按“露出面+可利用性”来排：公网可达、无需认证、一键能打的那种，，，，，，，，排最前面；；；；；；；必要复杂前提能力触发的，，，，，，，，能够往后放。。。。。。。建复打算里肯定要写明显每个缝隙的截止日期，，，，，，，，不然排了优先级也是白排。。。。。。。

信息泄露这类幼问题也别放过

检测汇报里时时有一堆“信息泄露”类的幼问题，，，，，，，，好比页面报错信息太具体、目录列表打开了、源码注解里写了账号密码之类的。。。。。。。这些单独看都不致命，，，，，，，，但攻击者做信息网络的时辰，，，，，，，，这些幼细节能让他省一半实力。。。。。。。? 能顺手建的就顺手建掉，，，，，，，，好比关掉目录列表、算帐注解、统一报错页面，，，，，，，，花不了几多功夫。。。。。。。别比及汇报里满是“低危”才想起来处置，，，，，，，，攻击链往往就是从这些幼处所一步步搭起来的。。。。。。。

把汇报造成一份可执行的建复打算

拿到网站安全检测汇报，，，，，，，，最后一步不是存档，，，，，，，，而是拆解成工作。。。。。。。把每个缝隙列出来，，，，，，，，标好等级、建复建议、掌管人和实现功夫，，，，，，，，建完再扫一遍确认是否真的解决了。。。。。。。这才是汇报的齐全关环。。。。。。。汇报自身不会让你的网站变安全，，，，，，，，真正着手建缝隙的人才会。。。。。。。你上次拿到检测汇报，，，，，，，，是直接丢进文件夹，，，，，，，，还是真去建了一条？？？？？？？？