网络安全Kali学习系列 · 第66篇

渗透测试报告编写

报告结构 · 漏洞描述 · 风险评级 · 整改建议
📋 本篇导读
  • 渗透测试报告的作用与原则
  • 报告标准结构与各章节要点
  • 漏洞风险评级方法（CVSS）
  • 漏洞描述写作规范
  • 整改建议撰写技巧
  • 报告常见问题与最佳实践

一、报告概述

1.1 报告的作用

受众 关注点 报告价值
高管层 风险概况、业务影响、整改优先级 决策依据、预算申请
安全团队 漏洞详情、攻击路径、复现方法 漏洞修复、防御加固
技术开发 具体漏洞原因、修复代码示例 代码修复、开发规范
合规审计 合规要求满足情况、整改证据 等保/ISO27001 合规

1.2 编写原则

客观准确：事实清楚，数据可靠，不夸大不缩小
专业规范：术语准确，格式统一，逻辑清晰
通俗易懂：技术细节与业务影响兼顾，各受众都能看懂
可操作性：每个漏洞都有明确的整改建议，可落地执行
证据充分：截图、日志、数据包等证据支撑每个发现
保密安全：敏感信息脱敏，报告本身加密传输存储

二、报告标准结构

2.1 整体结构

章节 内容 目标读者
1. 封面 项目名称、委托方、测试方、日期、版本、密级 全员
2. 执行摘要 项目背景、范围、方法、主要发现、风险概览、整改建议摘要 管理层
3. 测试说明 测试目标、范围、方法、时间、人员、环境、限制条件 安全团队
4. 风险概览 漏洞分布统计、风险等级分布、趋势对比 管理层 / 安全团队
5. 漏洞详情 每个漏洞的详细描述、复现步骤、风险分析、修复建议 技术团队
6. 整改建议 整体加固建议、优先级排序、实施路线图 安全团队 / 管理层
7. 附录 术语表、工具清单、参考资料、原始日志 技术团队

三、漏洞风险评级

3.1 CVSS v3.1 评分

指标组 指标 说明
基础指标 攻击向量 / 复杂度 AV:N/AC:L → 远程低难度，危害最大
权限要求 / 用户交互 PR:N/UI:N → 无需权限无需交互最严重
机密性 / 完整性 / 可用性 C:H/I:H/A:H → 三高 = 严重漏洞
时间指标 利用代码成熟度 / 修补级别 / 报告可信度 有公开EXP会提高实际风险
环境指标 安全要求 / 临时缓解 结合业务实际影响调整评分

3.2 风险等级划分

等级 CVSS 分数 说明 整改时限
严重 Critical 9.0 - 10.0 可远程直接获取服务器权限 立即（24小时内）
高危 High 7.0 - 8.9 可获取敏感数据或部分权限 1 周内
中危 Medium 4.0 - 6.9 需结合其他条件才能利用 1 个月内
低危 Low 0.1 - 3.9 信息泄露类，利用难度高 3 个月内
信息 Info 0.0 最佳实践建议，不构成漏洞 按需整改

四、漏洞详情撰写

4.1 标准漏洞描述模板

【漏洞名称】 简洁明确，包含漏洞类型和位置
【风险等级】 严重/高危/中危/低危 + CVSS 评分
【影响范围】 受影响的 URL、系统、模块、版本
【漏洞描述】 漏洞产生原因、原理、利用条件
【复现步骤】 Step by step，可操作、可复现
【风险分析】 业务影响、数据泄露风险、潜在危害
【整改建议】 具体修复方案、代码示例、配置修改
【参考链接】 CVE 编号、官方公告、技术文章

4.2 写作要点

描述准确：不说"存在 SQL 注入"，要说"在 /api/user?id= 参数处存在布尔型 SQL 注入"
步骤完整：从访问页面开始，到最终获取数据结束，每一步都清晰可重复
证据充分：截图标注重点，附上 Payload、响应包、数据库内容等
风险量化：说明具体影响，如"可获取全部用户数据（约10万条）"
建议可操作：给出具体修复代码或配置，不要只说"加强过滤"
语言专业：客观陈述，不使用情绪化或攻击性语言

五、整改建议撰写

5.1 建议层次

层次 内容 示例
紧急修复 临时缓解措施，快速降低风险 WAF 规则、临时下线、访问控制
根本修复 从代码或配置层面彻底修复 参数化查询、输入校验、权限控制
防御加固 纵深防御，防止同类漏洞 安全框架、代码审计、安全开发流程
管理改进 制度、流程、人员层面改进 安全培训、SDL、漏洞管理流程

六、常见问题与最佳实践

❌ 常见问题
• 漏洞描述含糊不清，只说现象不说原因
• 复现步骤不全，技术人员无法复现
• 风险等级随意评定，没有评分依据
• 整改建议过于笼统，无法指导修复
• 截图模糊或无标注，无法定位问题
• 报告格式混乱，术语不统一
✅ 最佳实践
• 使用统一模板和风格，保持一致性
• 每个漏洞附 CVSS 评分向量，说明评级依据
• 截图加红框标注重点，附完整请求响应包
• 整改建议给出代码示例或具体配置
• 按优先级排序漏洞，给出整改路线图
• 交叉审核：测试人员互审，确保质量

七、小结

🔑 本篇要点
  • 报告是渗透测试的交付物，面向不同受众要有不同侧重点
  • 六大编写原则：客观准确、专业规范、通俗易懂、可操作、证据充分、保密安全
  • 标准结构：封面 → 执行摘要 → 测试说明 → 风险概览 → 漏洞详情 → 整改建议 → 附录
  • CVSS v3.1 是行业标准评分方法，从基础/时间/环境三个维度评估
  • 漏洞详情八要素：名称、等级、范围、描述、复现、风险、整改、参考
  • 整改建议分四层：紧急修复 → 根本修复 → 防御加固 → 管理改进
  • 写报告要避免描述含糊、步骤不全、评级随意、建议笼统、截图模糊
下一篇预告
第 67 篇：CTF 实战与 SRC 漏洞挖掘
CTF 题型技巧、SRC 挖掘思路、赏金猎人成长之路
网络安全Kali学习系列 · 第66篇 · 渗透测试报告编写