Критическая уязвимость

Критическая уязвимость относится к уязвимости, которая возникает в основной бизнес-системе (основная система управления, управление на местах, бизнес-система распределения, машина-крепость и другие системы управления, которые могут управлять большим количеством систем). Это может нанести серьезный ущерб, получить доступ к управлению бизнес-системой (в зависимости от реальной ситуации), получить доступ к персоналу, управляющему основной системой, и даже управлять основной системой.

Оно включает, но не ограничивается:

1. Доступ к нескольким устройствам во внутренней сети;
2. Получение доступа суперадминистратора к основной серверной части, утечку основных данных предприятия и нанесение серьезного ущерба;
3. Переполнение смарт-контрактов и уязвимость условной конкуренции.

Высокая уязвимость

1. Получение доступа к системе (получение оболочки, выполнение команд и т. Д.).
2. Внедрение системного SQL (снижение уровня уязвимости бэкэнда, приоритезация отправки пакетов по мере необходимости).
3. Получите несанкционированный доступ к конфиденциальной информации, включая, помимо прочего, прямой доступ к фону управления путем обхода аутентификации, взлома паролей бэкэнда, получения SSRF конфиденциальной информации во внутренней сети и т. Д.
4. Произвольное чтение документа.
5. XXE уязвимость, которая может получить доступ к любой информации.
6. Несанкционированная операция включает в себя деньги, обход платежной логики (необходимо успешно использовать).
7. Серьезные логические дефекты конструкции и технологические дефекты. Это включает, помимо прочего, любую уязвимость входа пользователя, уязвимость пакетного изменения пароля учетной записи, логическую уязвимость, затрагивающую основной бизнес предприятия, и т. Д., За исключением взрыва кода проверки.
8. Другие уязвимости, влияющие на пользователей в больших масштабах. Это включает, но не ограничивается, XSS хранилища, которое может автоматически распространяться на критические страницы. XSS-хранилище может получить доступ к информации аутентификации администратора и может быть успешно использовано.
9. Утечка большого количества исходного кода.
10. Разрешение контроля дефектов в смарт-контракте.

Средняя уязвимость

1. Уязвимость, которая может затронуть пользователей посредством взаимодействия. Он включает, но не ограничивается, XSS хранилища на общих страницах, CSRF, связанный с основным бизнесом, и т. Д.
2. Общая несанкционированная работа. Он включает, помимо прочего, изменение пользовательских данных и выполнение пользовательских операций в обход ограничений.
3. Уязвимости, связанные с отказом в обслуживании. Он включает, но не ограничивается, уязвимости удаленного отказа в обслуживании, вызванные отказом в обслуживании веб-приложений.
4. Уязвимости, вызванные успешным взрывом с помощью чувствительной к системе операции, такой как доступ к логину и паролю учетной записи и т. Д., Из-за логических дефектов кода проверки.
5. Утечка локально хранимой конфиденциальной информации о ключе аутентификации, которую необходимо эффективно использовать.
6. Низкая уязвимость

Низкая уязвимость

1. Локальные уязвимости отказа в обслуживании. Он включает, помимо прочего, отказ в обслуживании локального клиента (анализ форматов файлов, сбои, генерируемые сетевыми протоколами), проблемы, вызванные раскрытием разрешений компонентов Android, общий доступ к приложениям и т. Д.
2. Утечка общей информации. Это включает, помимо прочего, обход веб-пути, обход системного пути, просмотр каталогов и т. Д.
3. Светоотражающий тип XSS (включая DOM XSS / Flash XSS).
4. Общий CSRF.
5. Уязвимость пропуска URL.
6. SMS-бомбы, почтовые бомбы (каждая система принимает только один тип этой уязвимости).
7. Невозможно доказать, что другие менее опасные уязвимости опасны (например, уязвимость CORS, которая не может получить доступ к конфиденциальной информации).
8. Нет возвращаемого значения и нет глубокого использования успешного SSRF.