面试官问“业务伤害”时，他在问什么

能复现，说不清值什么级——卡住的不是技术，是表达链路。

现象：能复现，一被问"业务伤害"就卡住

复现步骤背得熟，问到"这个洞让业务损失了什么"，答的是"危害很大"。面试官要的不是形容词，是三个能核对的东西：影响到谁、能碰到多大权限与多少数据、证据在哪。

这三样说不出来，前面做得再对也拿不到分。 面试官问这个，是在判断你能不能把技术结论翻译成业务结论；翻译不了，说明验证只做了一半。

四层都要落到"业务动作"，不能停在"技术现象"。"能读到表"是现象，"能拿到某类主体的全部订单"才是伤害。

入口	权限增量	数据面	业务动作
报表导出接口	同角色跨租户	单租户全量	拿到别家客户名单

没有链路就没有定级。 只有入口、没有落点，只能算"存在缺陷"，算不了"漏洞"。

五问法五问：能否多做无权操作 → 能否靠近业务目标 → 能否造成可复现伤害 → 有无报文证据 → 平台收录价值。

P：0 无增量 / 1 同权横向 / 2 跨主体 / 3 提权 / 4 直达管理面。D：0 元信息 / 1 单条 / 2 单主体批量 / 3 跨主体 / 4 全量或不可逆。对应档位：0 无 / 1 中 / 2 高 / 3 严重 / 4 致命。

档位 = min(P, D)。 P 再高，D 只有 1，结果也只能是中；D 再高，P 是 0，结果也只能是无。

术语是五问法的简写，不是另一套标准。 说不清五问，就别用 P/D 报数。定级有争议时，退回第 1 问和第 3 问去核对，比争 P 还是 D 有效。

TEXT

这个洞让 <主体> 在 P<x> 的权限下，拿到 D<y> 的数据，能做 <业务动作>；
证据是请求响应、数据样例、复现步骤三类，至少各一；按 min(P,D) 取 <档>。

三段：谁受影响 → 多大权限与多少数据 → 证据是什么。模板里必须出现"权限"和"数据"两个词，只说危害等于没说。背下来，现场不会乱。

反例也要会讲：报错页回显了 SQL 片段，但只回显自己那条查询，没有跨主体，没有数据外带。有回显，无伤害——P 无增量、D 元信息，不定级。

回显不是伤害，跨过边界才是。

三个缺的是同一件东西：落点。补上落点，回答才成立。

链路的完整形态见攻击链路，红队视角怎么落伤害见红队进攻；判断力那一层见危险函数检索为什么在真实项目里失效。

本文仅用于安全学习与授权环境下的测试。文中所有示例均为本地或授权靶场环境，不构成对任何真实系统的测试指引。

仅限授权测试，严禁非法滥用。