搜索

[10218] 2016-06-20_如何写好一份渗透测试报告？

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-06-20_如何写好一份渗透测试报告？ 如 何 写 好 一 份 渗 透 测 试 报 告 ？ 东 二 门 陈 冠 希   F r e e B u f   2 0 1 6 - 0 6 - 2 0 当 你 连 续 奋 战 了 好 几 天 ， 终 于 合 上 了 笔 记 本 ， 想 要 出 去 透 透 风 时 ， 一 个 熟 悉 的 问 句 传 来 ： 当 你 连 续 奋 战 了 好 几 天 ， 终 于 合 上 了 笔 记 本 ， 想 要 出 去 透 透 风 时 ， 一 个 熟 悉 的 问 句 传 来 ： “ 你 好 ， 请 问 什 么 时 候 可 以 交 付 报 告 ？ 你 好 ， 请 问 什 么 时 候 可 以 交 付 报 告 ？ ” 有 成 千 上 万 的 书 籍 讲 解 什 么 是 信 息 安 全 ， 什 么 是 渗 透 测 试 ， 也 有 数 不 清 的 培 训 课 程 视 频 。 但 是 ， 我 敢 打 赌 ， 在 这 些 材 料 中 ， 有 成 千 上 万 的 书 籍 讲 解 什 么 是 信 息 安 全 ， 什 么 是 渗 透 测 试 ， 也 有 数 不 清 的 培 训 课 程 视 频 。 但 是 ， 我 敢 打 赌 ， 在 这 些 材 料 中 ， 只 有 不 到 只 有 不 到 1 0 % 是 在 讲 写 报 告 的 事 情 。 在 一 个 完 整 的 渗 透 测 试 过 程 中 ， 有 将 近 一 半 的 时 间 都 用 在 了 编 写 报 告 上 ， 这 听 起 来 很 让 是 在 讲 写 报 告 的 事 情 。 在 一 个 完 整 的 渗 透 测 试 过 程 中 ， 有 将 近 一 半 的 时 间 都 用 在 了 编 写 报 告 上 ， 这 听 起 来 很 让 人 吃 惊 ， 但 是 也 并 不 奇 怪 。 人 吃 惊 ， 但 是 也 并 不 奇 怪 。 教 会 某 人 写 报 告 不 像 教 会 某 人 制 作 一 个 完 美 的 缓 冲 区 溢 出 那 么 有 意 思 ， 大 部 分 的 渗 透 测 试 人 员 情 愿 复 习 教 会 某 人 写 报 告 不 像 教 会 某 人 制 作 一 个 完 美 的 缓 冲 区 溢 出 那 么 有 意 思 ， 大 部 分 的 渗 透 测 试 人 员 情 愿 复 习 1 9 次 次 T C P 数 据 包 结 构 的 工 作 数 据 包 结 构 的 工 作 原 理 ， 也 不 愿 意 写 一 份 报 告 。 原 理 ， 也 不 愿 意 写 一 份 报 告 。 不 管 我 们 的 渗 透 测 试 水 平 多 么 高 ， 想 要 把 一 个 很 深 的 技 术 点 解 释 的 很 通 俗 易 懂 ， 即 使 是 完 全 不 懂 安 全 的 人 也 可 以 理 解 ， 这 是 一 件 异 常 艰 难 的 挑 战 。 不 但 得 学 会 简 单 明 了 的 解 释 渗 透 测 试 的 结 果 ， 还 得 控 制 好 时 间 。 这 样 做 的 好 处 很 多 ， 关 系 到 客 户 会 不 会 不 断 的 采 购 你 的 服 务 。 有 一 次 ， 我 开 车 到 3 5 0 英 里 以 外 的 一 家 客 户 那 里 做 售 前 ， 当 面 重 新 解 释 了 渗 透 测 试 报 告 的 本 内 容 ； 如 果 能 把 测 试 报 告 写 的 简 单 明 了 ， 我 就 不 用 跑 这 么 一 趟 ， 相 当 于 节 省 了 一 整 天 的 时 间 和 一 整 箱 汽 油 。 举 个 例 子 ： 举 个 例 子 ： 一 个 模 糊 不 清 的 解 释 ： “ S S H 版 本 应 该 被 禁 用 ， 因 为 它 含 有 高 危 漏 洞 ， 可 能 允 许 攻 击 者 在 网 络 上 拦 截 和 解 密 通 信 ， 虽 然 攻 击 者 控 制 网 络 的 风 险 很 低 ， 这 减 少 了 严 重 性 。 ” 清 楚 的 解 释 ： “ 建 议 在 这 些 设 备 上 禁 用 S S H ， 如 果 不 这 样 做 ， 就 有 可 能 允 许 攻 击 者 在 当 地 网 络 解 密 和 拦 截 通 讯 。 ” 为 什 么 渗 透 测 试 报 告 如 此 重 要 ？ 为 什 么 渗 透 测 试 报 告 如 此 重 要 ？ 请 谨 记 ： 渗 透 测 试 是 一 个 科 学 的 过 程 ， 像 所 有 科 学 流 程 一 样 ， 应 该 是 独 立 可 重 复 的 。 当 客 户 不 满 意 测 试 结 果 时 ， 他 有 权 要 求 另 外 一 名 测 试 人 员 进 行 复 现 。 如 果 第 一 个 测 试 人 员 没 有 在 报 告 中 详 细 说 明 是 如 何 得 出 结 论 的 话 ， 第 二 个 测 试 人 员 将 会 不 知 从 何 入 手 ， 得 出 的 结 论 也 极 有 可 能 不 一 样 。 更 糟 糕 的 是 ， 可 能 会 有 潜 在 漏 洞 暴 露 于 外 部 没 有 被 发 现 。 举 个 例 子 ： 举 个 例 子 ： 模 糊 不 清 的 描 述 ： “ 我 使 用 端 口 扫 描 器 检 测 到 了 一 个 开 放 的 T C P 端 口 。 “ 清 晰 明 了 的 描 述 ： “ 我 使 用 N m a p   5 . 5 0 ， 对 一 段 端 口 进 行 S Y N 扫 描 ， 发 现 了 一 个 开 放 的 T C P 端 口 。 报 告 是 实 实 在 在 的 测 试 过 程 的 输 出 ， 且 是 真 实 测 试 结 果 的 证 据 。 对 客 户 高 层 管 理 人 员 （ 批 准 用 于 测 试 的 资 金 的 人 ） 可 能 对 报 告 的 内 容 没 有 什 么 兴 趣 ， 但 这 份 报 告 是 他 们 唯 一 一 份 证 明 测 试 费 用 的 证 据 。 渗 透 测 试 不 像 其 他 类 型 的 合 同 项 目 。 合 同 结 束 了 ， 没 有 搭 建 新 的 系 统 ， 也 没 有 往 应 用 程 序 添 加 新 的 代 码 。 没 有 报 告 ， 很 难 向 别 人 解 释 他 们 刚 买 的 什 么 东 西 。 报 告 给 谁 看 ？ 报 告 给 谁 看 ？ 命 令 是 ： 命 令 是 ： n m a p   – s S   – p   7 0 0 0 - 8 0 0 0 “
至 少 有 三 种 类 型 的 人 会 阅 读 你 的 报 告 ： 高 级 管 理 人 员 ， 至 少 有 三 种 类 型 的 人 会 阅 读 你 的 报 告 ： 高 级 管 理 人 员 ， I T 管 理 和 管 理 和 I T 技 术 人 员 。 技 术 人 员 。 高 级 管 理 人 员 根 本 不 关 心 ， 或 者 压 根 不 明 白 它 的 意 思 ， 如 果 支 付 服 务 器 使 用 S S L   v 2 加 密 连 接 。 他 们 想 知 道 的 答 案 是 “ 我 们 现 在 到 底 安 不 安 全 ？ ” I T 管 理 对 该 组 织 的 整 体 安 全 性 感 兴 趣 ， 同 时 也 希 望 确 保 其 特 定 的 部 门 在 测 试 过 程 中 都 没 有 发 现 任 何 重 大 问 题 。 我 记 得 给 三 个 I T 经 理 一 份 特 别 详 细 的 报 告 。 阅 读 这 份 报 告 后 有 两 个 人 脸 色 变 得 苍 白 ， 而 第 三 个 人 笑 着 说 “ 太 好 了 ， 没 有 数 据 库 的 安 全 问 题 ” 。 I T 人 员 是 负 责 修 复 测 试 过 程 中 发 现 的 问 题 的 人 。 他 们 想 知 道 三 件 事 ： 受 影 响 系 统 的 名 称 ， 该 漏 洞 的 严 重 程 度 以 及 如 何 解 决 它 。 他 们 人 员 是 负 责 修 复 测 试 过 程 中 发 现 的 问 题 的 人 。 他 们 想 知 道 三 件 事 ： 受 影 响 系 统 的 名 称 ， 该 漏 洞 的 严 重 程 度 以 及 如 何 解 决 它 。 他 们 也 希 望 这 些 信 息 以 一 种 清 晰 而 且 有 组 织 的 方 式 呈 现 给 他 们 。 最 好 的 方 法 是 将 这 些 信 息 以 资 产 和 严 重 程 度 来 进 行 划 分 。 也 希 望 这 些 信 息 以 一 种 清 晰 而 且 有 组 织 的 方 式 呈 现 给 他 们 。 最 好 的 方 法 是 将 这 些 信 息 以 资 产 和 严 重 程 度 来 进 行 划 分 。 例 如 “ 服 务 器 A ” 存 在 “ 漏 洞 X ， Y 和 Z ， 漏 洞 Y 是 最 关 键 的 。 这 样 I T 人 员 就 可 以 快 速 的 找 到 问 题 的 关 键 ， 及 时 修 复 。 当 然 , 你 可 以 问 你 的 客 户 是 否 愿 意 对 漏 洞 分 组 。 毕 竟 测 试 是 为 了 他 们 的 利 益 ， 他 们 是 付 钱 的 人 ！ 一 些 客 户 喜 欢 有 个 详 细 说 明 每 个 漏 洞 的 页 面 ， 并 表 明 受 漏 洞 影 响 的 资 产 有 哪 些 。 虽 然 我 已 经 提 到 了 渗 透 测 试 报 告 三 种 最 常 见 的 读 者 ， 但 这 并 不 是 一 个 详 尽 的 清 单 。 一 旦 报 告 交 付 给 客 户 ， 取 决 于 他 们 用 它 干 什 么 。 它 可 能 最 终 被 提 交 给 审 计 人 员 作 为 审 计 的 证 据 。 它 可 以 通 过 销 售 团 队 呈 现 给 潜 在 客 户 。 “ 任 何 人 都 可 以 说 自 己 的 产 品 是 安 全 的 ， 但 他 们 可 以 证 明 这 一 点 ？ 我 们 可 以 看 看 这 里 的 渗 透 测 试 报 告 。 “ 报 告 甚 至 可 能 最 终 共 享 给 整 个 组 织 。 这 听 起 来 很 疯 狂 ， 但 它 确 实 发 生 过 。 我 执 行 一 次 社 会 工 程 学 测 试 ， 其 结 果 低 于 客 户 的 期 望 。 被 触 怒 的 C E O 将 报 告 传 递 给 整 个 组 织 ， 作 为 提 高 防 范 社 会 工 程 攻 击 意 识 的 一 种 方 式 。 更 有 趣 的 是 ， 几 周 后 当 我 访 问 同 一 个 公 司 做 一 些 安 全 意 识 的 培 训 。 我 在 自 我 介 绍 时 说 ， 我 就 是 之 前 那 个 负 责 社 工 测 试 的 人 。 愤 怒 的 目 光 ， 嘲 讽 的 语 气 ， 埋 怨 我 给 他 们 所 有 人 带 来 多 少 麻 烦 。 我 的 内 心 毫 无 波 动 ， 答 道 ： 我 的 内 心 毫 无 波 动 ， 答 道 ： “ 把 密 码 给 我 总 比 给 真 正 的 黑 客 好 。 把 密 码 给 我 总 比 给 真 正 的 黑 客 好 。 ” 报 告 应 该 包 含 什 么 ？ 报 告 应 该 包 含 什 么 ？ 有 时 候 你 会 很 幸 运 的 看 到 ， 客 户 在 项 目 计 划 之 初 就 表 明 他 们 想 要 的 报 告 内 容 。 甚 至 有 一 些 更 为 细 小 的 要 求 ， 比 如 ， 字 体 大 小 和 线 间 距 等 。 但 是 这 只 是 少 数 ， 大 部 分 客 户 还 是 不 知 道 最 终 要 什 么 结 果 ， 所 以 下 面 给 出 一 般 报 告 的 撰 写 程 序 。 封 面 封 面 封 面 是 报 告 的 第 一 面 窗 户 ， 封 面 页 上 包 含 的 细 节 可 以 不 那 么 明 显 。 但 是 测 试 公 司 的 名 称 、 标 志 以 及 客 户 的 名 称 应 该 突 出 显 示 。 诸 如 “ 内 部 网 络 扫 描 ” 或 “ D M Z 测 试 ” 测 试 标 题 也 应 该 在 那 里 ， 对 于 相 同 的 客 户 执 行 多 个 测 试 时 ， 可 以 避 免 混 淆 。 测 试 时 间 也 要 写 上 ， 随 着 时 间 的 推 移 ， 用 户 可 以 清 楚 的 得 知 他 们 的 安 全 状 况 是 否 得 到 了 改 善 。 另 外 该 封 面 还 应 包 含 文 档 的 密 级 ， 并 与 客 户 商 定 如 何 保 密 好 这 份 商 业 上 的 敏 感 文 件 。 内 容 提 要 内 容 提 要 我 见 过 一 些 简 直 像 短 篇 小 说 一 样 的 内 容 提 要 ， 其 实 这 部 分 一 般 要 限 制 在 一 页 纸 以 内 。 不 要 提 及 任 何 特 定 的 工 具 、 技 术 ， 因 为 客 户 根 本 不 在 乎 ， 他 们 只 需 要 知 道 的 是 你 做 了 什 么 ， 发 现 了 什 么 ， 接 下 来 要 发 生 什 么 ， 为 什 么 。 执 行
摘 要 的 最 后 一 行 应 该 是 一 个 结 论 ， 即 明 确 指 出 是 该 系 统 是 安 全 还 是 不 安 全 。 举 个 例 子 ： 举 个 例 子 ： 一 个 糟 糕 的 总 结 ： “ 总 之 ， 我 们 发 现 一 些 地 方 的 安 全 策 略 运 作 良 好 ， 但 有 些 地 方 并 未 遵 从 。 这 导 致 了 一 定 风 险 ， 但 并 不 是 致 命 风 险 。 ” 一 个 优 秀 的 总 结 ： “ 总 之 ， 我 们 发 现 了 某 些 地 方 没 有 遵 守 安 全 策 略 ， 这 给 组 织 带 来 了 一 个 风 险 ， 因 此 我 们 必 须 声 明 该 系 统 是 不 安 全 的 。 ” 漏 洞 总 结 漏 洞 总 结 将 漏 洞 列 表 放 在 一 个 页 面 上 ， 这 样 ， I T 经 理 便 可 以 一 目 了 然 的 知 道 接 下 来 要 做 什 么 。 具 体 怎 样 表 现 出 来 ， 形 式 多 样 ， 你 可 以 使 用 花 哨 的 图 形 （ 像 表 格 或 图 表 ） ， 只 要 清 晰 明 了 就 行 。 漏 洞 可 以 按 类 别 （ 例 如 软 件 问 题 ， 网 络 设 备 配 置 ， 密 码 策 略 ） 进 行 分 组 ， 严 重 程 度 或 C V S S 评 分 — — 方 法 很 多 ， 只 要 工 作 做 得 好 ， 很 容 易 理 解 。   测 试 团 队 的 详 细 信 息 测 试 团 队 的 详 细 信 息 记 录 测 试 过 程 中 所 涉 及 的 每 一 个 测 试 人 员 的 名 字 ， 这 是 一 个 基 本 的 礼 节 问 题 ， 让 客 户 知 道 是 谁 在 测 试 他 们 的 网 络 ， 并 提 供 联 系 方 式 ， 以 便 后 续 报 告 中 问 题 讨 论 。 一 些 客 户 和 测 试 公 司 也 喜 欢 依 据 测 试 的 内 容 向 不 同 的 测 试 小 组 分 配 任 务 。 多 一 双 眼 睛 ， 可 以 从 不 同 的 角 度 查 看 系 统 的 问 题 。 工 具 列 表 工 具 列 表 包 括 版 本 和 功 能 的 简 要 描 述 。 这 点 会 涉 及 到 可 重 复 性 。 如 果 有 人 要 准 确 复 现 您 的 测 试 ， 他 们 需 要 确 切 地 知 道 您 使 用 的 工 具 。   工 作 范 围 工 作 范 围
事 先 已 经 同 意 ， 转 载 作 为 参 考 是 有 用 的 。 报 告 主 体 报 告 主 体 这 部 分 才 是 报 告 的 精 华 ， 报 告 的 正 文 应 包 括 所 有 检 测 到 的 漏 洞 细 节 ， 如 何 发 现 漏 洞 ， 如 何 利 用 漏 洞 ， 以 及 漏 洞 利 用 的 可 能 性 。 无 论 你 做 的 是 什 么 ， 都 要 保 证 给 出 一 个 清 晰 的 解 释 。 我 看 过 无 数 份 报 告 ， 都 是 简 单 的 复 制 粘 贴 漏 洞 扫 描 的 结 果 ， 这 是 不 对 的 。 另 外 报 告 中 还 应 包 括 切 实 贴 合 的 修 复 建 议 。  
  最 终 交 付 最 终 交 付 在 任 何 情 况 下 任 何 一 份 报 告 应 该 加 密 传 输 。 这 虽 然 是 常 识 ， 但 往 往 大 家 就 会 摔 倒 在 最 后 的 这 环 上 。     * 参 考 来 源 ： i n f o s e c ， F B 小 编 东 二 门 陈 冠 希 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理