误报研判是什么
扫描器本质是按规则与指纹做推断，命中记录只是『疑似』。误报来自三类来源：版本识别偏差（指纹猜错产品版本）、路径猜测偏差（自定义错误页或单页应用把所有路径都返回 200）、响应特征误判（把 WAF 拦截页当成漏洞证据）。研判的价值在于把命中记录尽快分成真实、误报、待确认三堆，避免真实问题被淹没在噪声里，也避免为误报投入修复资源。
基本信息
| 误报来源 | 版本猜测、路径猜测、响应特征误判 |
|---|---|
| 交叉手段 | 手工请求复核、历史基线比对、目标侧日志核对、变更记录比对 |
| 输出要求 | 给出结论与证据，附复核命令与时间 |
| 归档价值 | 同类命中的结论可复用，减少重复劳动 |
典型使用场景
- 批量扫描产出大量命中时的首轮筛选，优先处理可验证项
- SPA 站点报告『敏感文件可访问』时确认是否只是前端路由的兜底返回
- 确认扫描命中的版本与目标实际部署版本是否一致
- 把已核实的误报写入忽略清单并设置复审日期，而不是简单关闭
- 复盘漏报与误报时对比复核记录，调整扫描策略与模板筛选
核验流程示例
核验流程示例
# 1. 复核响应：状态码 / 响应头 / 内容长度
curl -sk -o /dev/null -w '%{http_code} %{size_download}\n' https://example.com/path
# 2. 对照历史：此前该路径是 404 还是 403，是否已存在基线
# 3. 目标侧核对：路径是否真实存在、组件版本是否与命中的一致
# 4. 变更记录比对：近期是否改过配置，导致行为发生变化
# 5. 记录结论与证据（命令 + 时间 + 目标 + 结果）误报类型与特征
| 类型 | 典型表现 | 复核方式 |
|---|---|---|
| 版本类 | 识别偏差，或反向代理统一伪装 | 查站点备案版本、管理页版本信息 |
| 路径类 | 自定义 404 页、SPA 路由把不存在路径返回 200 | 比对内容长度与首页是否一致 |
| 规则类 | WAF 拦截页被识别为漏洞特征命中 | 查看响应头与拦截页特征 |
| 时序类 | 扫描窗口内服务临时异常导致误判 | 避开变更窗口重扫确认 |
复核结论要连证据一起归档：同一路径下次再被命中时，可以直接引用上次的判定，避免每轮扫描重复投入同一批研判人力。
把无法复现的命中直接标为误报有风险：部分问题只在特定参数或特定身份下出现，应记为『待确认』并保留复现条件，而不是关闭。