如何写好一份渗透测试报告
当你连续奋战了好几天，终于合上了笔记本，想要出去透透风时，一个熟悉的问句传来：“你好，请问什么时候可以交付报告？”
有成千上万的书籍讲解什么是信息安全，什么是渗透测试，也有数不清的培训课程视频。但是，我敢打赌，在这些材料中，只有不到10%是在讲写报告的事情。在一个完整的渗透测试过程中，有将近一半的时间都用在了编写报告上，这听起来很让人吃惊，但是也并不奇怪。
教会某人写报告不像教会某人制作一个完美的缓冲区溢出那么有意思，大部分的渗透测试人员情愿复习19次TCP数据包结构的工作原理，也不愿意写一份报告。
不管我们的渗透测试水平多么高，想要把一个很深的技术点解释的很通俗易懂，即使是完全不懂安全的人也可以理解，这是一件异常艰难的挑战。不但得学会简单明了的解释渗透测试的结果，还得控制好时间。这样做的好处很多，关系到客户会不会不断的采购你的服务。有一次，我开车到350英里以外的一家客户那里做售前，当面重新解释了渗透测试报告的本内容；如果能把测试报告写的简单明了，我就不用跑这么一趟，相当于节省了一整天的时间和一整箱汽油。
举个例子：
一个模糊不清的解释：“SSH版本应该被禁用，因为它含有高危漏洞，可能允许攻击者在网络上拦截和解密通信，虽然攻击者控制网络的风险很低，这减少了严重性。”
清楚的解释：“建议在这些设备上禁用SSH，如果不这样做，就有可能允许攻击者在当地网络解密和拦截通讯。”
为什么渗透测试报告如此重要？
请谨记：渗透测试是一个科学的过程，像所有科学流程一样，应该是独立可重复的。当客户不满意测试结果时，他有权要求另外一名测试人员进行复现。如果第一个测试人员没有在报告中详细说明是如何得出结论的话，第二个测试人员将会不知从何入手，得出的结论也极有可能不一样。更糟糕的是，可能会有潜在漏洞暴露于外部没有被发现。
举个例子：
模糊不清的描述：“我使用端口扫描器检测到了一个开放的TCP端口。“
清晰明了的描述：“我使用Nmap 5.50，对一段端口进行SYN扫描，发现了一个开放的TCP端口。
命令是：nmap –sS –p 7000-8000“
报告是实实在在的测试过程的输出，且是真实测试结果的证据。对客户高层管理人员（批准用于测试的资金的人）可能对报告的内容没有什么兴趣，但这份报告是他们唯一一份证明测试费用的证据。渗透测试不像其他类型的合同项目。合同结束了，没有搭建新的系统，也没有往应用程序添加新的代码。没有报告，很难向别人解释他们刚买的什么东西。
报告给谁看？
至少有三种类型的人会阅读你的报告：高级管理人员，IT管理和IT技术人员。
高级管理人员根本不关心，或者压根不明白它的意思，如果支付服务器使用SSL v2加密连接。他们想知道的答案是“我们现在到底安不安全？”
IT管理对该组织的整体安全性感兴趣，同时也希望确保其特定的部门在测试过程中都没有发现任何重大问题。我记得给三个IT经理一份特别详细的报告。阅读这份报告后有两个人脸色变得苍白，而第三个人笑着说“太好了，没有数据库的安全问题”。
IT人员是负责修复测试过程中发现的问题的人。他们想知道三件事：受影响系统的名称，该漏洞的严重程度以及如何解决它。他们也希望这些信息以一种清晰而且有组织的方式呈现给他们。最好的方法是将这些信息以资产和严重程度来进行划分。例如“服务器A”存在“漏洞X，Y和Z，漏洞Y是最关键的。这样IT人员就可以快速的找到问题的关键，及时修复。
当然,你可以问你的客户是否愿意对漏洞分组。毕竟测试是为了他们的利益，他们是付钱的人！一些客户喜欢有个详细说明每个漏洞的页面，并表明受漏洞影响的资产有哪些。
虽然我已经提到了渗透测试报告三种最常见的读者，但这并不是一个详尽的清单。一旦报告交付给客户，取决于他们用它干什么。它可能最终被提交给审计人员作为审计的证据。它可以通过销售团队呈现给潜在客户。“任何人都可以说自己的产品是安全的，但他们可以证明这一点？我们可以看看这里的渗透测试报告。“
报告甚至可能最终共享给整个组织。这听起来很疯狂，但它确实发生过。我执行一次社会工程学测试，其结果低于客户的期望。被触怒的CEO将报告传递给整个组织，作为提高防范社会工程攻击意识的一种方式。更有趣的是，几周后当我访问同一个公司做一些安全意识的培训。我在自我介绍时说，我就是之前那个负责社工测试的人。愤怒的目光，嘲讽的语气，埋怨我给他们所有人带来多少麻烦。我的内心毫无波动，答道：“把密码给我总比给真正的黑客好。”
报告应该包含什么？
有时候你会很幸运的看到，客户在项目计划之初就表明他们想要的报告内容。甚至有一些更为细小的要求，比如，字体大小和线间距等。但是这只是少数，大部分客户还是不知道最终要什么结果，所以下面给出一般报告的撰写程序。
封面
封面是报告的第一面窗户，封面页上包含的细节可以不那么明显。但是测试公司的名称、标志以及客户的名称应该突出显示。诸如“内部网络扫描”或“DMZ测试”测试标题也应该在那里，对于相同的客户执行多个测试时，可以避免混淆。测试时间也要写上，随着时间的推移，用户可以清楚的得知他们的安全状况是否得到了改善。另外该封面还应包含文档的密级，并与客户商定如何保密好这份商业上的敏感文件。
内容提要
我见过一些简直像短篇小说一样的内容提要，其实这部分一般要限制在一页纸以内。不要提及任何特定的工具、技术，因为客户根本不在乎，他们只需要知道的是你做了什么，发现了什么，接下来要发生什么，为什么，执行摘要的最后一行应该是一个结论，即明确指出是该系统是安全还是不安全。
举个例子：
一个糟糕的总结：“总之，我们发现一些地方的安全策略运作良好，但有些地方并未遵从。这导致了一定风险，但并不是致命风险。”
一个优秀的总结：“总之，我们发现了某些地方没有遵守安全策略，这给组织带来了一个风险，因此我们必须声明该系统是不安全的。”
漏洞总结
将漏洞列表放在一个页面上，这样，IT经理便可以一目了然的知道接下来要做什么。具体怎样表现出来，形式多样，你可以使用花哨的图形（像表格或图表），只要清晰明了就行。漏洞可以按类别（例如软件问题，网络设备配置，密码策略）进行分组，严重程度或CVSS评分——方法很多，只要工作做得好，很容易理解。
测试团队的详细信息
记录测试过程中所涉及的每一个测试人员的名字，这是一个基本的礼节问题，让客户知道是谁在测试他们的网络，并提供联系方式，以便后续报告中问题讨论。一些客户和测试公司也喜欢依据测试的内容向不同的测试小组分配任务。多一双眼睛，可以从不同的角度查看系统的问题。
工具列表
包括版本和功能的简要描述。这点会涉及到可重复性。如果有人要准确复现您的测试，他们需要确切地知道您使用的工具。
工作范围
事先已经同意，转载作为参考是有用的。
报告主体
这部分才是报告的精华，报告的正文应包括所有检测到的漏洞细节，如何发现漏洞，如何利用漏洞，以及漏洞利用的可能性。无论你做的是什么，都要保证给出一个清晰的解释。我看过无数份报告，都是简单的复制粘贴漏洞扫描的结果，这是不对的。另外报告中还应包括切实贴合的修复建议。
最终交付
在任何情况下任何一份报告应该加密传输。这虽然是常识，但往往大家就会摔倒在最后的这环上。
【急】高一生物的渗透现象实验的实验报告
1.做青菜饺子馅时放盐后会有水出现在上面
2.这些水是否来自蔬菜细胞
3.这些水市蔬菜细胞通过渗透作用失水渗出来的
4。通过对照试验观察放食盐的韭菜和没放食盐的韭菜上面是否有水出现
5.食盐，比较新鲜的韭菜
1.分别称取长势相同的韭菜叶各50g置于两支干净的试管中，并编号为1.2
2.在空气比较干燥的地方进行试验，向1号试管中加入5g食盐，二号试管不作处理
3.十分钟后观察实验现象
6.发现一号试管中就猜也能上面有水出现，而二号试管中没有明显的水灾菜叶上面，可判断出韭菜是通过渗透作用失水的
实验报告
实验报告总结（一）： 一个长学期的电路原理，让我学到了很多东西，从最开始的什么都不懂，到此刻的略懂一二。
在学习知识上头，开始的时候完全是教师讲什么就做什么，感觉速度还是比较快的，跟理论也没什么差距。可是之后就觉得越来越麻烦了。从最开始的误差分析，实验报告写了很多，可是真正掌握的确不多，到最终的回转器，负阻，感觉都是理论没有很好的跟上实践，很多情景下是在实验出现象以后在去想理论。在实验这门课中给我最大的感受就是，必须要先弄清楚原理，在做实验，这样又快又好。
在养成习惯方面，最开始的时候我做实验都是没有什么条理，想到哪里就做到哪里。比如说测量三相电，有很多种情景，有中线，无中线，三角形接线法还是Y形接线法，在这个实验中，如果选择恰当的顺序就能够减少很多接线，做实验应当要有良好的习惯，应当在做实验之前想好这个实验要求什么，有几个步骤，应当怎样安排才最合理，其实这也映射到做事情，不管做什么事情，应当都要想想目的和过程，这样才能高效的完成。电原实验开始的几周上课时间不是很固定，实验报告也累计了很多，第一次感觉有那么多实验报告要写，在交实验报告的前一天很多同学都通宵了的，这说明我们都没有合理的安排好自我的时间，我应当从这件事情中吸取教训，合理安排自我的时间，完成应当完成的学习任务。这学期做的一些实验都需要严谨的态度。在负阻的实验中，我和同组的同学连了两三次才把负阻链接好，又浪费时间，又没有效果，在这个实验中，有很多线，很容易插错，所以要异常仔细。
在最终的综合实验中，我更是受益匪浅。完整的做出了一个红外测量角度的仪器，虽然不是异常准确。我和我组员分工合作，各自完成自我的模块。我负责的是单片机，和数码显示电路。这两块都是比较简单的，可是数码显示异常需要细致，由于我自我是一个粗心的人，所以数码管我检查了很多遍，做了很多无用功。
总结：电路原理实验最终给我留下的是：严谨的学习态度。做什么事情都要认真，争取一次性做好，人生没有太多时间去浪费。
实验报告总结（二）：
回顾起此课程设计，感慨颇多，从理论到实践，在这学期的学习中，能够说得是苦多于甜，累，可是能够学到很多很多的东西，不仅仅巩固了以前所学过的知识，也学到了很多在书本上所没有学到过的知识。在实验操作与设计的过程中遇到问题也颇多，但可喜的是最终都得到了解决。
此次课程实验学习给自我最大的感触是，不管什么样的软件，懂的也好不懂的也好，都要动手去用，仅有自我操作了，才会真正明白其中的用处，其次是，在遇到困难的时候，不要总是一个人在那捣鼓，同学间应当互相的帮忙，有时候向别人学习，会比自我一个人在哪儿毫无头绪的摸索更好。
此次设计也让我明白了思路即出路，有什么不懂不明白的地方要及时请教或上网查询，只要认真钻研，动脑思考，动手实践，就没有弄不懂的知识，俗话说的好，读书破万卷下笔如有神，没有学不会仅有不肯学！我坚信，只要下一番功夫就能有梦想的收获！
经过这次实验，让我更加了解到地理信息系统原理与方法的重要性，以及它对我们资源勘查专业发展发挥的重要作用。学习，我觉得结果并不是最重要的，很多结果并不完美，可是学习这个过程是不可少的。当自我把本课程所有的实验做完后，才领悟到教师所说话的含义，要掌握一种新的软件，得随着实践的演练，经过循序渐进的学习，才能更好的掌握它。这次实验，学到的东西很多。
实验报告总结（三）：
经过一个学期对《计算机网络实用技术》这门课程的学习，对于我来说它已不陌生。首先对于课程安排，感觉很紧凑，几乎不遗漏任何的知识点。理论总在实验和机试前，这样有利于我们学生理解新知识的灌输，并且把理论运用自如。每理论课后，教师总不忘留出十几分钟的时间给我们思考的空间。其次是对于教学，感觉教师讲课的思路很清晰，运用课件的形式讲课，很有概括性，重点一针见血，易于给我们把握住知识的主次。跟着教师的教学步骤，我们慢慢吃透了课本上的知识，教师偶尔形象及幽默的比喻，易于理解理解，感觉不到课堂的枯燥，实验前，教师总会给足够的时间给我们预习。分成小组的形式，让我们构成合作的团体，实验中不仅仅让我获得知识，更锻炼了我们同学之间的合作。实验中学会了双绞线的制作与测试、IP地址规划与管理、对等网络组网等等。即使操作上，
我们学会了开通博客、;windows2000server的安装等等。实验后的实验报告让我们有了总结回顾的效果。计算机网络是计算机技术和通信技术相互结合、相互渗透而构成的一门新兴学科。21世纪的我们，必须学好科学技术才能站得住脚!!!在实验中，让我们体会到合作的重要性!!!!实验前做好准备，要了解实验目的的要求，要详读实验的步骤，实验过程要谨慎仔细等等。。。
相信以后更认真，努力的学习，必须能够使自我的知识更全面。
1.这个学期我们学习了测试技术这门课程，它是一门综合应用相关课程的知识和资料来解决科研、生产、国防建设乃至人类生活所面临的测试问题的课程。测试技术是测量和实验的技术，涉及到测试方法的分类和选择，传感器的选择、标定、安装及信号获取，信号调理、变换、信号分析和特征识别、诊断等，涉及到测试系统静动态性能、测试动力学方面的研究和自动化程度的提高，涉及到计算机技术基础和基于LabVIEW的虚拟测试技术的运用等。
课程知识的实用性很强，所以实验就显得十分重要，我们做了金属箔式应变片：单臂、半桥、全桥比较，回转机构振动测量及谱分析，悬臂梁一阶固有频率及阻尼系数测试三个实验。刚开始做实验的时候，由于自我的理论知识基础不好，在实验过程遇到了许多的难题，也使我感到理论知识的重要性。可是我并没有气垒，在实验中发现问题，自我看书，独立思考，最终解决问题，从而也就加深我对课本理论知识的理解，到达了双赢的效果。
实验中我学会了单臂单桥、半桥、全桥的性能的验证;用振动测试的方法，识别一小阻尼结构的(悬臂梁)一阶固有频率和阻尼系数;掌握压电加速度传感器的性能与使用方法;了解并掌握机械振动信号测量的基本方法;掌握测试信号的频率域分析方法;还有了解虚拟仪器的使用方法等等。实验过程中培养了我在实践中研究问题，分析问题和解决问题的本事以及培养了良好的工程素质和科学道德，例如团队精神、交流本事、独立思考、测试前沿信息的捕获本事等;提高了自我动手本事，培养理论联系实际的作风，增强创新意识。
0条大神的评论