搜索

[11688] 2017-08-21_如何写好一篇漏洞报告（国外篇）

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-08-21_如何写好一篇漏洞报告（国外篇） 如 何 写 好 一 篇 漏 洞 报 告 （ 国 外 篇 ） 漏 洞 盒 子   F r e e B u f   2 0 1 7 - 0 8 - 2 1 如 何 写 好 一 篇 漏 洞 总 结 报 告 ， 这 一 直 都 是 一 些 应 用 开 发 公 司 经 常 忽 略 的 重 要 事 情 ， 一 篇 好 的 漏 洞 总 结 报 告 可 以 如 何 写 好 一 篇 漏 洞 总 结 报 告 ， 这 一 直 都 是 一 些 应 用 开 发 公 司 经 常 忽 略 的 重 要 事 情 ， 一 篇 好 的 漏 洞 总 结 报 告 可 以 有 效 帮 助 开 发 人 员 ， 减 少 寻 找 和 解 决 漏 洞 的 时 间 。 有 效 帮 助 开 发 人 员 ， 减 少 寻 找 和 解 决 漏 洞 的 时 间 。 接 下 来 我 就 开 始 讲 述 如 何 该 写 好 一 篇 漏 洞 总 结 报 告 ， 这 样 你 就 可 以 在 看 完 报 告 后 短 时 间 内 解 决 漏 洞 问 题 ， 同 时 也 可 以 避 免 在 软 件 项 目 过 程 中 遭 遇 公 关 问 题 。 那 么 首 先 来 对 比 一 下 错 误 和 正 确 的 漏 洞 总 结 报 告 。 一 个 错 误 的 漏 洞 总 结 报 告 是 什 么 样 的 ？ 一 个 错 误 的 漏 洞 总 结 报 告 是 什 么 样 的 ？ 在 开 始 分 析 之 后 ， 先 为 大 家 介 绍 几 个 漏 洞 基 本 概 念 ， C V S S ( C o m m o n   V u l n e r a b i l i t y   S c o r i n g   S y s t e m ) 即 通 用 漏 洞 评 分 系 统   是 安 全 内 容 自 动 化 协 议 ( S C A P ) 的 一 部 分 ， 分 值 （ 0 - 1 0 0 ) ， 同 时 为 行 业 公 开 标 准 , 其 被 设 计 用 来 评 测 漏 洞 的 严 重 程 度 帮 助 确 定 所 需 反 应 的 紧 急 度 和 重 要 度 。 C V S S 同 C V E 一 同 由 美 国 国 家 漏 洞 库 ( N V D ) 发 布 并 保 持 数 据 的 更 新 ， C V E ( C o m m o n   V u l n e r a b i l i t i e s   a n d   E x p o s u r e s ) 为 漏 洞 和 暴 露 确 定 了 唯 一 的 名 称 以 及 一 个 标 准 化 的 描 述 ， 同 时 实 现 更 好 的 协 同 工 作 。 下 面 我 们 就 来 一 起 分 析 下 错 误 漏 洞 总 结 报 告 ， 我 们 就 先 来 看 看 错 误 漏 洞 总 结 报 告 是 什 么 样 的 。 请 试 着 想 象 这 样 一 件 事 情 ， 我 们 搭 建 了 一 个 有 关 球 迷 的 社 交 网 站 ， 在 一 次 网 站 程 序 升 级 检 测 之 后 ， 质 量 保 证 专 员 在 J I R A 上 填 写 漏 洞 总 结 报 告 。 下 面 这 张 图 片 就 是 例 子
第 一 眼 看 过 去 这 篇 报 告 似 乎 一 切 没 有 问 题 ， 不 是 吗 ？ 那 么 到 底 还 缺 少 什 么 内 容 呢 ？ 下 面 我 们 就 一 起 来 分 析 一 下 漏 洞 编 号 （ 漏 洞 编 号 （ I D ） ： ） ： 当 你 在 J I R A 网 站 上 填 写 漏 洞 总 结 报 告 时 ， 网 站 会 默 认 分 配 给 你 一 个 编 号 ， 这 一 块 没 有 什 么 问 题 。 漏 洞 摘 要 ： 漏 洞 摘 要 ： 该 信 息 往 往 位 于 编 号 信 息 下 面 ， 但 这 篇 报 告 却 没 有 一 语 中 的 ， 报 告 中 虽 然 提 及 了 漏 洞 影 响 的 用 户 类 型 ， 但 没 有 具 体 说 明 是 哪 一 种 类 型 的 漏 洞 。 如 果 一 个 W e b 开 发 者 看 到 这 样 一 篇 报 告 ， 就 会 提 出 很 多 的 问 题 并 要 求 对 方 来 澄 清 这 些 疑 问 。 漏 洞 详 述 ： 漏 洞 详 述 ： 很 明 显 测 试 人 员 没 有 提 供 关 于 应 用 程 序 版 本 和 测 试 环 境 的 任 何 数 据 ， 我 们 在 下 面 的 文 章 将 会 详 细 描 述 这 一 点 ， 至 于 漏 洞 优 先 级 问 题 ， 测 试 人 员 通 常 会 优 先 分 配 优 先 级 ， 以 后 可 能 会 根 据 实 际 情 况 改 变 优 先 级 。 对 于 目 前 国 内 提 交 漏 洞 优 先 级 ， 需 要 说 明 一 下 ， 如 下 ： 1 ) 高 危 安 全 问 题 ： 高 危 安 全 问 题 ： 1 、 直 接 获 取 业 务 服 务 器 权 限 的 漏 洞 。 包 括 但 不 限 于 任 意 命 令 执 行 、 上 传 获 取 w e b s h e l l 、 直 接 导 致 严 重 的 信 息 泄 漏 漏 洞 。 2 、 包 括 但 不 限 于 核 心 D B 的 S Q L 注 入 漏 洞 （ 涉 及 用 户 数 据 、 订 单 数 据 、 交 易 数 据 ） ， 直 接 导 致 严 重 影 响 的 逻 辑 漏 洞 。 3 、 包 括 但 不 限 于 任 意 帐 号 密 码 更 改 漏 洞 。 4 、 越 权 访 问 ， 仅 限 于 重 要 业 务 线 批 量 获 取 订 单 类 信 息 的 漏 洞 ( 敏 感 数 据 明 文 ) 、 用 户 数 据 信 息 （ 明 文 ） 、 绕 过 验 证 直 接 访 问 后 台 、 重 要 后 台 登 录 弱 口 令 。 2 ) 中 危 安 全 问 题 ： 中 危 安 全 问 题 ： 1 、 需 交 互 才 能 获 取 用 户 身 份 信 息 的 漏 洞 。 2 、 包 括 但 不 限 于 任 意 文 件 读 、 写 、 删 除 、 下 载 等 操 作 。 3 、 包 括 但 不 限 于 绕 过 限 制 修 改 用 户 资 料 、 执 行 用 户 操 作 ， 较 严 重 的 信 息 泄 漏 漏 洞 4 、 包 括 但 不 限 于 批 量 获 取 用 户 类 、 订 单 类 信 息 的 漏 洞 。
5 、 非 核 心 业 务 S Q L 注 入 ， 不 涉 及 用 户 数 据 、 订 单 数 据 、 交 易 数 据 ， 按 中 风 险 处 理 3 ) 低 危 安 全 问 题 ： 低 危 安 全 问 题 ： 1 、 普 通 逻 辑 漏 洞 ； 普 通 信 息 泄 露 ； 需 交 互 才 能 获 取 用 户 身 份 信 息 并 且 有 一 定 利 用 难 度 的 漏 洞 。 2 、 D i s c u z   漏 洞 问 题 均 按 低 风 险 处 理 ( d i s c u z 非 q u n a r 主 要 业 务 ) 3 、 批 量 下 订 单 、 发 垃 圾 短 信 、 加 关 注 按 低 风 险 处 理 4 、 越 权 访 问 ， 包 含 敏 感 信 息 且 打 码 ， 按 低 风 险 处 理 5 、 代 理 商 弱 口 令 及 密 码 等 信 息 通 过 云 盘 、 笔 记 、 Q Q 群 备 注 等 泄 漏 的 按 低 风 险 处 理 6 、 代 理 商 及 合 作 方 后 台 地 址 外 泄 导 致 暴 力 破 解 ， 按 低 风 险 处 理 。 7 、 猜 测 或 遍 历 网 站 注 册 用 户 ， 按 低 风 险 处 理 4 ) 通 常 忽 略 的 问 题 ： 通 常 忽 略 的 问 题 ： 1 、 不 涉 及 安 全 问 题 的 b u g ， 包 括 但 不 限 于 网 站 产 品 功 能 缺 陷 、 页 面 乱 码 、 样 式 混 编 等 。 2 、 不 会 直 接 带 来 安 全 问 影 响 ， 包 括 但 不 限 于 绕 过 W A F 对 业 务 无 影 响 的 ， S e l f - X S S ， 非 登 录 相 关 的 U R L 跳 转 ， 非 敏 感 操 作 的 C S R F ， 非 敏 感 信 息 的 J S O N   H i j a c k i n g ， 无 意 义 的 源 码 泄 漏 、 程 序 出 错 而 暴 露 出 来 无 安 全 影 响 的 信 息 、 内 网 I P / 域 名 泄 漏 ， 以 及 需 借 助 中 间 人 攻 击 才 能 实 现 的 问 题 。 3 、 无 法 重 现 的 漏 洞 、 不 能 直 接 体 现 漏 洞 的 其 他 问 题 。 包 括 但 不 限 于 纯 属 用 户 推 测 的 问 题 （ 需 要 案 例 ） 。 4 、 厂 商 内 部 自 行 发 现 的 ， 厂 商 S R C 已 知 的 ， 第 三 方 漏 洞 平 台 报 告 过 的 漏 洞 做 忽 略 处 理 ， 且 厂 商 提 供 相 应 截 图 （ 其 中 ： 高 危 ： 4 小 时 ， 中 危 ： 1 4 天 ， 低 危 ： 2 8 天 ） 。 5 、 第 三 方 已 披 露 的 漏 洞 （ 基 础 应 用 0 d a y ， 开 发 框 架 0 d a y 等 ） ， 距 离 公 告 期 两 天 以 上 且 厂 商 已 知 晓 的 。 6 、 由 于 已 经 对 关 键 位 置 实 施 H t t p O n l y 限 制 ， X S S 漏 洞 暂 不 接 收 （ 后 台 盲 打 类 x s s 除 外 ） 。 7 、 无 线 订 单 链 接 越 权 查 看 （ 用 户 等 信 息 打 码 ， 不 能 遍 历 ） 的 按 低 风 险 处 理 漏 洞 描 述 ： 这 块 是 出 现 问 题 最 多 的 地 方 ， 在 这 一 部 分 ， 测 试 人 员 应 该 按 照 重 新 配 置 、 实 际 结 果 和 预 期 结 果 的 步 骤 提 供 漏 洞 相 关 信 息 。 漏 洞 总 结 报 告 就 是 应 该 提 供 有 关 漏 洞 的 详 细 信 息 ， 如 果 质 量 保 证 专 员 不 能 有 效 的 再 现 漏 洞 问 题 ， 那 么 看 到 这 篇 漏 洞 报 告 的 软 件 开 发 人 员 就 需 要 多 花 时 间 在 寻 找 漏 洞 问 题 上 。 在 看 完 上 面 截 图 信 息 之 后 ， W e b 开 发 人 员 将 立 即 询 问 负 责 编 写 报 告 的 人 使 用 了 哪 些 登 录 凭 证 ， 如 管 理 员 信 息 、 测 试 用 户 信 息 以 及 版 主 信 息 （ 含 B B S 模 板 网 站 常 见 ） 。 除 此 之 外 ， 还 需 要 知 道 出 现 服 务 器 漏 洞 （ 本 地 环 境 ） 问 题 ， 简 单 来 说 ， 这 种 情 况 一 般 出 现 在 测 试 服 务 器 （ h t t p s : / / t e s t i n g - b u g s . s p r i n k l e b i t . c o m ） ， 或 生 产 服 务 器 （ h t t p s : / / s p r i n k l e b i t . c o m ） 。 还 有 一 个 概 念 大 家 需 要 了 解 ， 漏 洞 管 理 三 要 素 ， 即 准 确 性 、 时 间 以 及 资 源 。 测 试 人 员 应 该 提 供 预 期 结 果 ， 这 些 细 节 可 以 帮 助 开 发 人 员 （ 有 些 没 参 与 其 软 件 开 发 人 员 对 于 程 序 细 节 不 清 楚 ） 快 速 解 决 这 个 问 题 ， 但 我 们 在 报 告 中 没 有 看 到 直 观 的 漏 洞 数 据 统 计 图 形 ， 比 如 一 些 附 加 图 形 图 像 。 如 何 将 一 篇 糟 糕 的 漏 洞 总 结 报 告 改 进 ？ 如 何 将 一 篇 糟 糕 的 漏 洞 总 结 报 告 改 进 ？ 请 看 下 面 这 篇 报 告 的 截 图 ， 这 篇 漏 洞 总 结 报 告 就 比 之 前 的 那 篇 好 些 。
第 二 篇 和 第 一 篇 有 什 么 不 同 ？ 主 要 是 第 二 篇 的 报 告 对 于 细 节 描 述 更 加 详 细 具 体 ， W e b 开 发 人 员 可 以 根 据 报 告 内 容 对 程 序 进 行 修 改 。 下 面 就 来 说 明 一 下 第 二 篇 报 告 改 进 的 地 方 ， 测 试 人 员 在 报 告 中 描 述 了 重 要 细 节 ， “ 聊 天 功 能 — — 创 建 临 时 会 话 的 群 主 不 能 重 命 名 它 ” ， 当 然 这 里 面 还 有 其 它 一 些 有 价 值 的 信 息 ， 诸 如 受 影 响 软 件 版 本 号 、 运 行 环 境 以 及 修 复 版 本 信 息 。 测 试 人 员 提 到 了 检 测 出 漏 洞 的 应 用 程 序 版 本 ， 同 时 还 指 出 当 时 测 试 环 境 ， 这 样 就 可 以 很 清 楚 的 了 解 网 站 当 前 运 行 环 境 版 本 。 之 前 描 述 的 步 骤 中 重 现 是 非 常 重 要 的 ， 它 可 以 显 示 必 要 的 网 站 登 录 数 据 、 网 站 相 关 软 件 版 本 以 及 按 钮 说 明 。 实 际 结 果 虽 然 出 现 在 截 图 中 ， 但 测 试 人 员 并 没 有 忘 记 提 及 预 期 结 果 。 在 这 里 强 调 的 一 点 是 ， 所 有 漏 洞 总 结 报 告 都 应 该 按 照 统 一 规 则 编 写 ， 漏 洞 总 结 报 告 在 追 踪 漏 洞 方 面 是 非 常 实 用 的 。 下 面 我 就 来 介 绍 一 下 如 何 写 好 一 篇 高 质 量 的 漏 洞 总 结 报 告 ， 以 方 便 开 发 人 员 更 高 效 的 解 决 漏 洞 问 题 ， 最 后 当 漏 洞 总 结 报 告 上 的 问 题 迅 速 解 决 的 时 候 ， 你 设 计 的 应 用 程 序 将 会 从 中 获 益 。 写 好 一 篇 高 质 量 漏 洞 总 结 报 告 的 诀 窍 写 好 一 篇 高 质 量 漏 洞 总 结 报 告 的 诀 窍 漏 洞 总 结 报 告 主 要 是 向 开 发 人 员 澄 清 一 个 明 确 的 问 题 ， 同 时 有 助 于 开 发 人 员 开 发 整 个 项 目 。 在 质 量 保 证 团 队 开 始 编 写 漏 洞 报 告 的 时 候 ， 他 们 应 该 了 解 以 下 问 题 的 答 案 什 么 ? - 应 用 程 序 发 生 了 什 么 事 情 ？ 如 何 ？ - 我 们 点 击 / 运 行 程 序 不 发 生 错 误 ？ 在 哪 里 ？ - 到 底 在 应 用 程 序 哪 个 位 置 出 现 漏 洞 ? 网 页 / 服 务 器 ?
下 面 就 开 始 讲 解 一 种 编 写 漏 洞 总 结 报 告 的 样 板 ， 并 拿 一 个 网 站 举 个 例 子 。 漏 洞 编 号 漏 洞 编 号 测 试 人 员 可 以 在   B u g z i l l a 、 J I R A 等 平 台 编 写 报 告 ， 如 果 你 选 择 在 这 些 平 台 编 写 报 告 ， 通 常 会 得 到 一 个 编 号 。 另 外 测 试 人 员 也 可 以 手 动 编 写 一 个 编 号 ， 这 样 做 比 填 写 完 整 标 题 的 方 案 ， 很 显 然 前 者 可 以 节 约 开 发 人 员 开 发 时 间 。 在 实 际 生 活 中 ， 没 有 人 会 手 动 编 写 一 个 编 号 ， 如 果 你 一 定 要 选 择 手 动 编 写 ， 可 以 考 虑 利 用 应 用 程 序 名 称 缩 写 ， S p r i n k l e B i t 就 可 以 用 S B - W E B 代 替 ， S B - M O B 则 表 示 该 应 用 移 动 端 版 本 。 另 外 ， 测 试 人 员 需 要 为 漏 洞 加 索 引 编 号 。 正 确 ： s b - w e b - 1 2 1 或 s b - m o b - 2 3 1 （ 尽 量 将 应 用 程 序 运 行 哪 种 环 境 表 达 出 来 ） 错 误 ： 我 的 网 站 - # 8 7 1 2 3 或 简 单 标 记 # 1 1 2 开 发 人 员 有 时 需 要 同 时 处 理 多 个 项 目 ， 所 以 设 置 一 个 一 目 了 然 的 漏 洞 编 号 ， 这 样 可 以 清 楚 的 表 达 是 哪 一 个 应 用 程 序 出 现 问 题 。 漏 洞 摘 要 漏 洞 摘 要 在 J I R A 网 站 平 台 编 写 报 告 ， 需 要 填 写 一 个 标 题 ， 这 就 需 要 了 解 报 告 摘 要 内 容 之 后 才 能 做 这 件 事 情 ， 摘 要 可 以 说 是 漏 洞 总 结 报 告 最 核 心 的 部 分 。 对 于 初 学 者 ， 我 建 议 使 用 短 信 息 来 填 写 标 题 ， 漏 洞 摘 要 通 常 是 以 简 短 的 语 言 描 述 问 题 的 关 键 ， J I R A   中 的 项 目 进 展 分 级 为 E p i c （ 史 诗 ） - > S t o r y （ 故 事 ） - > T a s k （ 任 务 ） ， E p i c   可 以 说 占 用 你 在 J I R A 平 台 报 告 中 大 部 分 信 息 ， 如 之 前 聊 天 或 用 户 个 人 资 料 部 分 分 析 ， 你 需 要 提 示 测 试 人 员 不 能 带 有 自 身 情 绪 以 及 主 观 意 见 ， 同 时 以 简 短 的 方 式 来 描 述 发 生 了 什 么 事 情 。 正 确 表 达 方 式 ： 关 于 公 司 屏 幕 出 现 问 题 ， 屏 幕 顶 部 出 现 红 色 条 纹 ， 还 有 屏 幕 中 的 彩 色 布 局 不 协 调 问 题 。 错 误 表 达 方 式 ： 屏 幕 布 局 有 问 题 / 屏 幕 出 现 问 题 漏 洞 详 细 信 息 漏 洞 详 细 信 息 我 作 为 经 验 丰 富 的 质 量 保 证 专 员 ， 强 烈 建 议 您 的 测 试 人 员 应 在 报 告 中 ， 详 细 说 明 应 用 程 序 版 本 以 及 测 试 环 境 ， 通 常 情 况 下 ， 应 用 程 序 应 每 两 到 三 周 更 新 一 次 ， 例 如 ， 我 们 可 能 每 两 周 发 布 一 个 新 版 本 的 应 用 程 序 ， 同 时 修 复 老 版 本 错 误 。 具 体 来 说 就 是 已 经 完 成 了 2 . 2 1 版 本 （ 假 设 新 版 本 号 ） ， 就 没 有 必 要 在 2 . 0 1 版 本 （ 假 设 旧 版 本 号 ） 创 建 一 个 相 关 漏 洞 信 息 的 报 告 。 但 这 里 需 要 注 意 的 是 ， 你 需 要 让 你 的 测 试 人 员 详 细 更 新 报 告 ， 并 在 报 告 中 指 出 是 哪 个 应 用 程 序 版 本 出 现 问 题 。 根 据 漏 洞 类 型 的 不 同 ， 测 试 环 境 可 分 为 网 站 版 本 ， 操 作 系 统 或 W e b 浏 览 器 。 例 如 ， 你 有 两 个 网 站 w w w . m y - w e b s i t e . c o m 和 t e s t i n g . m y - w e b s i t e . c o m 用 来 测 试 ， 但 测 试 环 境 很 显 然 是 不 同 的 （ 测 试 服 务 器 和 生 产 服 务 器 ） ， 所 以 导 致 最 终 的 结 果 也 会 不 同 。 因 此 ， 测 试 人 员 需 要 在 漏 洞 总 结 报 告 中 指 出 详 细 网 址 信 息 。 如 果 发 现 是 运 行 环 境 问 题 ， 就 需 要 记 下 浏 览 器 名 称 和 版 本 。 测 试 人 员 在 报 告 中 需 详 细 描 述 测 试 环 境 ， 同 时 可 以 为 后 来 的 网 站 开 发 人 员 节 约 时 间 ， 也 可 以 帮 助 开 发 人 员 了 解 问 题 的 关 键 所 在 。 如 果 测 试 人 员 不 在 报 告 中 添 加 这 一 项 ， 那 么 开 发 人 员 也 会 跳 过 这 一 个 容 易 被 忽 略 的 地 方 。 他 们 不 负 责 检 测 漏 洞 ， 并 有 可 能 导 致 任 务 失 败 。 漏 洞 的 严 重 性 以 及 优 先 级 漏 洞 的 严 重 性 以 及 优 先 级 这 两 项 可 以 单 独 列 出 来 ， 也 可 以 合 并 为 一 个 参 数 。 而 这 取 决 于 测 试 人 员 使 用 的 漏 洞 分 析 平 台 ， 漏 洞 的 严 重 性 是 针 对 漏 洞 对 于 应 用 程 序 的 影 响 ， 从 临 界 范 围 （ 漏 洞 关 键 功 能 ） 降 低 （ 错 误 很 难 重 现 ） 再 到 主 要 功 能 正 常 ， 一 些 不 常 用 功 能 很 可 能 出 现 问 题 。 一 般 情 况 下 ， 测 试 人 员 会 使 用 这 种 模 式 。
漏 洞 优 先 级 反 过 来 是 概 述 漏 洞 修 复 层 次 结 构 的 工 具 ， 项 目 经 理 通 常 设 定 优 先 权 ， 漏 洞 优 先 级 按 漏 洞 严 重 程 度 排 列 ， 并 使 得 范 围 逐 渐 缩 小 。 简 单 来 说 ， 如 果 一 个 漏 洞 关 键 问 题 起 作 用 时 ， 那 么 该 漏 洞 优 先 级 和 严 重 程 度 都 会 被 评 为 “ 高 危 ” 漏 洞 。 当 然 漏 洞 关 键 问 题 并 没 有 那 么 重 要 时 ， 我 们 会 指 定 漏 洞 的 优 先 级 和 严 重 程 度 ， 举 个 例 子 ， 在 被 测 试 网 站 登 录 页 面 上 的 一 级 标 题 内 容 出 现 拼 写 错 误 。 像 这 种 漏 洞 危 害 级 别 程 度 很 低 ， 而 且 不 影 响 程 序 正 常 功 能 。 网 站 用 户 仍 然 可 以 登 录 网 站 ， 但 我 们 也 不 应 该 忽 视 这 样 的 漏 洞 ， 登 录 网 站 的 用 户 第 一 个 看 的 就 是 网 页 内 容 ， 所 以 我 们 不 应 该 出 现 这 样 低 级 的 错 误 。 在 现 实 中 ， 我 们 可 以 在 J I R A 中 指 定 最 初 指 定 的 优 先 级 ， 然 后 向 W e b 开 发 人 员 和 项 目 经 理 报 告 漏 洞 及 其 优 先 级 或 严 重 程 度 。 项 目 经 理 可 以 联 系 客 户 并 告 诉 他 们 发 生 了 什 么 事 。 最 后 ， 客 户 决 定 是 否 必 须 尽 快 解 决 这 个 问 题 ， 或 选 择 等 待 客 户 的 意 见 可 能 与 测 试 人 员 所 想 的 不 同 ， 因 此 这 些 事 项 顺 序 可 以 根 据 客 户 意 愿 很 容 易 改 变 。 漏 洞 描 述 漏 洞 描 述 测 试 人 员 应 该 向 开 发 人 员 提 供 详 细 的 漏 洞 总 结 报 告 （ 重 现 漏 洞 问 题 ） 。 重 现 重 现 这 个 步 骤 主 要 是 描 述 漏 洞 是 如 何 出 现 的 ， 当 然 测 试 人 员 越 多 ， 越 好 。 产 品 产 品 应 用 程 序 出 现 问 题 的 详 细 描 述 ， 测 试 人 员 应 该 提 到 浏 览 器 、 它 的 版 本 和 运 行 环 境 系 统 状 态 、 用 户 类 型 、 用 户 状 态 、 系 统 初 始 数 据 和 用 户 所 在 的 页 面 。 展 示 展 示 测 试 人 员 展 示 如 何 出 现 漏 洞 在 看 完 上 文 后 ， 我 为 大 家 总 结 一 下 安 全 检 查 列 表 ， 主 要 分 为 软 件 安 全 漏 洞 、 配 置 错 误 、 产 品 名 称 以 及 影 响 度 量 。 实 际 结 果 与 预 期 结 果 实 际 结 果 与 预 期 结 果 实 际 结 果 是 当 测 试 人 员 重 现 漏 洞 时 发 生 的 事 情 ， 质 量 保 证 团 队 提 供 实 际 结 果 的 截 图 ， 并 与 预 期 的 结 果 进 行 比 较 。 预 期 的 结 果 是 我 们 在 给 定 条 件 下 预 计 的 正 常 功 能 。 下 面 这 两 个 信 息 ， 一 个 是 错 误 的 报 告 ， 一 个 是 正 确 的 报 告 。 正 确   错 误 漏 洞 已 经 在   C h r o m e   4 7 以 及 火 狐 浏 览 器 （ 3 8 ） 测 试   打 开 网 站   h t t p : / / w w w . h e r s h e y s . c o m 仅 在 火 狐 浏 览 器 （ 3 8 ） 有 效   登 录 登 录 h t t p s : / / w w w . h e r s h e y s . c o m / r e c i p e s / e n _ U S / p r o d u c t s / b a k i n g - p i e c e s . h t m l   退 出 账 户 选 择 P r o d u c t s 选 项   选 择 R e e s e ’ s   M i n i   P i e c e s 选 项 点 击 B a k i n g   P i e c e s   实 际 结 果 ： 从 列 表 中 删 除 所 选 项 漏 洞 总 结 报 告 的 附 加 信 息 漏 洞 总 结 报 告 的 附 加 信 息                                                                                                                                                                                                                                                             预 期 结 果 ： 应 打 开 R e e s e ' s   M i n i   P i e c e s 选 项 详 细 说 明 页
这 是 漏 洞 总 结 报 告 最 后 的 部 分 ， 如 有 必 要 ， 测 试 人 员 可 附 上 任 何 相 关 的 附 加 文 件 。 我 们 的 目 标 是 尽 可 能 多 地 收 集 文 件 ， 附 件 可 以 是 ， 一 张 截 图 、 一 个 日 志 文 件 （ l o g . t x t ） 、 详 细 描 述 漏 洞 文 件 、 测 试 人 员 程 序 接 口 。 在 上 文 已 经 说 明 质 量 保 证 团 队 如 何 写 报 告 ， 由 于 某 些 漏 洞 分 析 平 台 不 同 细 节 就 会 有 出 入 ， 但 遵 循 这 些 准 则 应 有 助 于 编 写 优 秀 的 漏 洞 总 结 报 告 。 * 参 考 来 源 ： 参 考 来 源 ： r u b y g a r a g e ， 饭 团 君 编 译 ， 转 载 请 注 明 来 自 ， 饭 团 君 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理