POC 的使用边界是什么
POC（Proof of Concept）是用来证明漏洞真实存在的验证代码或验证步骤。公开 POC 的质量差异很大：有的只是原理说明无法直接运行，有的依赖特定环境才能触发，也有的夹带后门或反弹连接。验证的价值在于确认真实性并摸清利用条件，从而判断优先级；因此它必须在授权范围内、在隔离环境中进行，并且在生产系统上只做非破坏性的存在性验证。
基本信息
| 用途 | 验证漏洞真实性、评估利用条件与影响范围 |
|---|---|
| 风险 | 误报、夹带恶意代码、被武器化传播 |
| 原则 | 授权范围内、非破坏性、可复现、留证据 |
| 优先来源 | 厂商公告与官方修复说明，其次才是社区验证代码 |
典型使用场景
- 确认扫描命中是否真实：在隔离环境复现一遍，比只看扫描器输出可靠
- 评估利用前置条件：是否需要认证、是否需要特定配置、是否受网络拓扑限制
- 给修复排期提供依据：能稳定复现的问题通常优先级更高
- 验证补丁有效性：打补丁后在相同环境再跑一次验证，确认已不可触发
- 对外通报前准备证据快照：请求响应、时间戳与版本信息
验证流程建议
验证流程建议
1. 核对厂商公告与受影响版本区间，确认目标确实落在范围内
2. 在隔离环境复现验证：使用快照或可回滚的虚拟机
3. 生产环境只做非破坏性检测（版本探测、无害探针、响应特征比对）
4. 若必须执行代码，先完整审计其行为：网络回连、文件写入、权限变更
5. 记录验证结果与证据快照（命令、时间、目标、输出）
6. 结论分档：已确认 / 待确认 / 误报，并写明依据验证方式与影响
| 方式 | 影响面 | 适用环境 |
|---|---|---|
| 版本与配置核对 | 无影响 | 生产环境可用 |
| 无害探针 / 请求特征比对 | 极低 | 生产环境谨慎使用 |
| 隔离环境完整复现 | 可控 | 测试环境 |
| 直接在生产执行利用代码 | 不可控 | 禁止，除非书面授权并评估后果 |
验证结论分档比『是/否』更有用：待确认项保留可复现条件与已排除项，下一轮扫描出现同类命中时可以直接引用。
不要在生产系统直接运行来源不明的验证脚本：执行前审计其行为，避免验证过程本身成为入侵起点或造成数据破坏。