# 攻击优先级与阻力评分（国内 SRC / 补天）

> 目标：先挖 **易过审、危害直观、复现成本低** 的洞。  
> 灵感来源：MyuriKanao/src-hunter-skill 的「攻击路径最短原则」+ 国内业务危害口径。

## 1. 一句话原则

攻击者总是选阻力最小的路径——**报告也应按阻力排队**。  
阻力 = 认证门槛 + 请求复杂度 + 社工依赖 + 利用门槛。

## 2. 四维评分（每维 0–3，总分 0–12）

| 维度 | 3 分 | 2 分 | 1 分 | 0 分 |
|------|------|------|------|------|
| 认证门槛 | 完全无需登录 | 普通注册用户 | 特权角色（商家/VIP） | 仅管理员会话 |
| 请求复杂度 | 单 HTTP 请求 | 2–3 步 | 需竞态 | 精确时序/多日 |
| 社工依赖 | 无需用户交互 | 需点击链接 | 需用户输入敏感操作 | 需管理员操作 |
| 利用门槛 | 浏览器/curl | Burp/Yakit 常见操作 | 需自写 exploit | 需额外 0day |

**报告优先级**：

| 档 | 分 | 建议 |
|----|----|------|
| P0 | 10–12 | 立即写正式报告，优先提交 |
| P1 | 7–9 | 高危候选，补齐证据后提交 |
| P2 | 4–6 | 中危；能讲清业务后果再交 |
| P3 | 0–3 | 多数易拒/忽略，默认不交 |

## 3. 漏洞类型 × 国内 SRC 默认价值（需按真实条件减分）

| 类型（最佳条件：无认证/单请求） | 默认档 | 补天话术要点 |
|--------------------------------|--------|--------------|
| 未授权 RCE / 任意文件写 | P0 | 服务器控制权，证明只读命令即可 |
| 未授权读核心库/批量敏感 PII | P0 | 可批量、字段类型、脱敏截图 |
| 未授权管理后台 / 高敏业务数据 API | P0–P1 | 功能列表+数据样例+写接口是否裸奔 |
| SSRF → 云元数据/内网管理 | P0–P1 | 回显或带外证明打到了哪 |
| 水平越权改关键业务/资金相关 | P0–P1 | 双号对比，状态被改成功 |
| 账号接管链（重置/OAuth/绑定） | P0–P1 | 最终能登录他人账号（测试号） |
| 需登录的 IDOR 读隐私 | P1–P2 | 批量性与字段敏感度 |
| SQLi（可读敏） | P1 | 证明库/表/字段，不拖库 |
| 存储 XSS → 后台 | P1 | 触发角色与 Cookie 利用路径 |
| 反射 XSS / 信息泄露 | P2–P3 | 无利用路径常被降/拒 |
| 缺安全头 / Self-XSS / Logout CSRF | P3 | 默认不报 |

## 4. 选入口顺序（单目标 1–2 小时）

1. **未授权面**：robots、备份、`.git`、swagger、actuator、druid、phpmyadmin、老后台路径、JS 里的 admin host  
2. **对象级鉴权**：列表/详情/导出/删除是否只校验登录不校验归属  
3. **状态机与支付**：价格、数量、优惠券、订单状态、退款  
4. **认证边界**：重置密码、验证码、SSO、JWT `alg`/`kid`、越权 claim  
5. **服务端请求**：url/file/callback/preview/import  
6. **注入与上传**：有信号再深挖，无信号快速换面  

## 5. 时间盒纪律

- 单接口 **5 分钟**无差分信号 → 换参数/方法  
- 单子系统 **45–60 分钟**无 P0/P1 苗头 → 换子系统  
- 发现一个点 → **cluster 15 分钟**（同路由前缀、同参数名、CRUD 对称）再写报告  

## 6. 与 CVSS 的关系

CVSS 可作附录；**标题与自评等级必须用业务后果句**。  
坏：`CVSS 9.8 SQL 注入`  
好：`未授权注入可读取订单库手机号字段（已脱敏证明），具备批量拖取风险`
