YD/T 3955-2021 标准解读

一、标准适用范围与执行边界

• 适用主体：电信运营商、IDC服务商、云平台运营方、政务及金融行业Web系统建设/运维单位，以及承担等保测评、渗透测试、漏洞管理服务的第三方机构。
• 适用场景：Web应用系统上线前安全检测、等保三级及以上系统年度复测、重大活动前专项风险排查、供应商交付物安全验收、漏洞闭环管理过程中的分类定级环节。
• 排除条件：非HTTP/HTTPS协议承载的接口（如纯WebSocket长连接无RESTful交互）、未部署于公网或内网生产环境的开发测试副本、静态HTML单页无后端交互文件、第三方CDN缓存层自身漏洞（非源站Web应用逻辑缺陷）、客户端JS加密算法强度不足等密码学问题。

二、核心实操技术要求

1. 漏洞分类强制映射：所有检测发现的Web缺陷必须归入标准第5章定义的12类主类（如注入类、跨站脚本、失效访问控制），不得使用CVSS向量或OWASP Top 10别名替代；每类下设二级子类（如“注入类→SQL注入→布尔盲注”），子类编码须与附录A表A.1完全一致。
2. 可利用性验证硬性流程：对标识为“高危”及以上等级漏洞，须完成三步验证——①复现请求原始报文（含完整Header与Body）；②获取非错误页面的业务有效响应（如成功回显数据库版本、越权读取他人订单号）；③排除WAF误报（需提供绕过WAF的至少一种有效Payload及对应响应包）。未完成三步者降级为“待确认”状态，不得进入处置流程。
3. 定级验收规范：采用双因子判定法——危害程度（按表B.1取值：0-4分）×影响范围（按表B.2取值：1-3分），乘积≥6分为高危，≥3分为中危，其余为低危；同一URL路径下多个漏洞合并计分时，仅取最高分项，不叠加。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：AJAX异步接口漏洞归类难——大量Vue/React前端调用JSON API，传统扫描器漏报率超40%。

  对策：强制使用标准附录C.3定义的“异步交互漏洞识别法”，对Content-Type为application/json的请求，须人工补全X-Requested-With: XMLHttpRequest头重放，并检查响应中是否存在未授权返回的data.user.phone等嵌套敏感字段。

• 难点2：微服务架构下漏洞归属模糊——API网关层过滤规则与后端服务漏洞责任边界不清。

  对策：依据标准第4.2.2条，以实际触发漏洞的代码模块所在进程为准；若漏洞由网关配置缺失导致（如未校验JWT scope），归入“配置错误→API网关策略缺失”，编码CE-04-02；若由后端服务未校验scope参数导致，归入“失效访问控制→垂直权限绕过”，编码AC-04-01。

• 难点3：低危漏洞处置资源挤占——如HTTP标题缺失X-Content-Type-Options被批量标记为低危，消耗80%工单处理时间。

  对策：启用标准附录D.1豁免清单，对X-Frame-Options缺失、Server头明文暴露等11项配置类问题，仅记录不生成工单，写入《基线配置核查报告》单独归档。