一个漏洞从发现到修复，中间到底经历了什么？

原创

北京昊网
北京昊网

北京昊网网络安全与数字化服务

2026年10月8日 12:30
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关注北京昊网，共话网络安全。

很多人学漏洞，学的是“这个漏洞怎么利用”。

SQL注入怎么构造payload，文件上传怎么绕过检测，命令注入怎么拼接语句。学完这些，觉得自己会了。

但真到了工作里，发现事情没那么简单。

你扫出来一个漏洞，不是修完就结束了。从发现到修复，中间有一条完整的链路，每一步都有讲究。这条链路走不顺，要么漏洞修不干净，要么修完业务出问题，要么修完没人知道到底修没修好。

今天把这条链路拆开讲清楚。

一、发现：扫出来的，不一定是真的

漏洞发现的手段有很多。漏扫工具扫、渗透测试打、代码审计看、外部情报推。不管哪种方式，第一步的产出都是一样的：一个疑似漏洞。

注意“疑似”两个字。

自动化扫描器报出来的漏洞，误报率相当高。一个SQL注入告警，可能是真的，也可能只是页面返回了一个包含SQL关键词的错误信息，但参数根本没进数据库。一个文件上传漏洞，可能扫描器检测到了上传接口，但后端做了严格的类型校验和内容检测，实际上传不上去。

所以发现之后的第一件事，不是直接丢给开发去修，而是验证。

验证要回答两个问题：这个漏洞真的存在吗？如果存在，能被利用到什么程度？

验证的方法，根据漏洞类型不同而不同。SQL注入就手工构造payload试一下，文件上传就传一个无害的测试文件看能不能执行，命令注入就发一个延时命令看响应时间。只有确认能复现，才能进入下一步。

这一步的价值在于：把误报过滤掉，把真实漏洞的利用路径搞清楚。不然开发花时间修了一个根本不存在的问题，或者修了一个假的、真漏洞还在。

二、定级：不是所有漏洞都值得立刻修

确认漏洞存在之后，下一个问题是：这个漏洞有多严重？

很多人以为漏洞定级就是看CVSS评分。CVSS分数高就是高危，分数低就是低危。实际上没那么简单。

同一个漏洞，放在不同的业务环境里，严重程度完全不同。

一个SQL注入，如果是出现在一个对外网开放、存着几百万用户数据的业务系统上，那是高危，必须立刻修。如果出现在一个纯内网、只存着测试数据、没有任何真实用户的系统上，那严重程度就要降一档。

定级要考虑的因素包括：这个系统暴露在什么网络位置？存不存在敏感数据？被利用之后的影响范围有多大？有没有其他防护措施可以拦住？

定级的本质，是排优先级。企业资源有限，不可能所有漏洞都第一时间修。哪些必须立刻修，哪些可以排期，哪些可以接受风险，这个判断就是定级的价值。

三、分派：找对人，才修得动

漏洞定完级，接下来要找到能修的人。

这一步听起来简单，实际上最容易卡住。

一个Web漏洞，可能是开发写的代码问题，可能是运维配错了中间件，可能是安全设备策略有漏洞。一个系统漏洞，可能是服务器管理员负责，可能是应用开发商负责，可能是云服务商负责。

找错人，漏洞就会被踢皮球。开发说是运维的事，运维说是安全的事，安全说我只负责发现不负责修。一圈转下来，漏洞还在那里。

所以分派之前，要先搞清楚这个漏洞的根因在哪，归谁管。根因在代码，找开发。根因在配置，找运维。根因在架构，找架构师。只有找对人，漏洞才有人真正去修。

四、修复：修得快，不等于修得对

找到责任人之后，进入修复环节。

这个环节最大的误区是：追求速度，忽略了影响。

一个漏洞报出来，开发直接改了代码，测试没做，上线了。结果漏洞修了，但业务逻辑也改了，用户下单失败。这种情况在实际工作中并不少见。

正确的修复流程是这样的：先确认根因，搞清楚漏洞是怎么产生的。然后制定修复方案，方案要考虑修完之后对业务的影响。然后实施修复，修复完在测试环境验证。验证通过后再上生产。生产上线后要复测，确认漏洞真的被修掉了。

这个流程不能省。修复漏洞的本质是在系统上做手术。手术做得快不重要，做得稳才重要。

还有一个问题：有些漏洞修不了怎么办？

比如系统太老，补丁打不了。比如业务逻辑必须那么设计，改了业务就废了。这种情况，需要上补偿性措施。比如加WAF规则拦住攻击流量，比如做网络隔离把风险限制在最小范围，比如加强监控确保一旦被利用能第一时间发现。修不了，不等于不管。

五、复测：确认漏洞真的没了

修复完成之后，一定要复测。

复测不是重新扫一遍就完事。复测要针对性地验证：原来那个漏洞还能不能利用？利用路径有没有被堵死？修复方案有没有引入新的问题？

复测的结论只有两种：修好了，或者没修好。没修好就打回去重新修，修好了就进入下一步。

这一步的价值在于：避免“假修复”。有些人为了交差，改了一个无关紧要的地方，就说修完了。如果没有人复测，这个漏洞可能一直存在，直到被真正利用。

六、归档：把经验留下来

漏洞修完、复测通过，链路就走完了吗？还差最后一步：归档。

归档要记录的内容包括：漏洞的基本信息（类型、位置、发现方式）、验证过程、定级依据、修复方案、复测结果、责任人、时间节点。

这份记录有三个作用。第一，合规审计的时候能证明你做了这件事。第二，下次遇到同类漏洞，直接查记录就知道怎么修。第三，统计漏洞数据，分析哪些系统问题最多、哪类漏洞反复出现，为后续的安全建设提供依据。

七、总结

一个漏洞从发现到修复，要经过六个环节：发现、定级、分派、修复、复测、归档。

每一步都有它的价值，跳过任何一步都会出问题。

跳过验证，可能修的是假漏洞。跳过定级，可能在低危漏洞上浪费资源，高危漏洞反而没人管。跳过分派，漏洞会被踢皮球。跳过修复流程，可能修出业务故障。跳过复测，漏洞可能根本没修掉。跳过归档，下次遇到同样的问题还要从头来一遍。

漏洞管理不是“扫出来就修”。它是一条完整的链路，每个环节都需要有人负责、有标准可依、有记录可查。

把这条链路走顺，才算真正具备了安全运营的基本功。

学网络安全，找北京昊网，就业有保障，带你冲年薪，10-40万！

详细咨询：黎歌老师｜18500324210（同微信）

签订《就业服务协议》，未达成就业标准，全额退费。