当你持续奋战了好几天，终于合上了条记本，想要出去透透风时，一个熟悉的问句传来：“你好，请问什么时候可以交付呈报？”

有成千上万的册本讲解什么是信息安适，什么是渗透测试，也有数不清的培训课程视频。但是，我敢赌博，在这些材猜中，只有不到10%是在讲写呈报的工作。在一个完整的渗透测试过程中，有将近一半的时间都用在了编写呈报上，这听起来很让人受惊，但是也并不奇怪。

教会某人写呈报不像教会某人制作一个完美的缓冲区溢出那么有意思，大部分的渗透测试人员情愿温习19次TCP数据包布局的事情道理，也不愿意写一份呈报。

不管我们的渗透测试程度何等高，想要把一个很深的技术点解释的很通俗易懂，即使是完全不懂安适的人也可以理解，这是一件异常艰难的挑战。不单得学会简单明了的解释渗透测试的功效，还得控制好时间。这样做的好处很多，关系到客户会不会不停的采购你的处事。有一次，我开车到350英里以外的一家客户那里做售前，对面从头解释了渗透测试呈报的本内容；如果能把测试呈报写的简单明了，我就不用跑这么一趟，相当于节省了一成天的时间和一整箱汽油。

举个例子：

一个模糊不清的解释：“SSH版本应该被禁用，因为它含有高危缝隙，可能允许打击者在网络上拦截和解密通信，虽然打击者控制网络的危害很低，这减少了严重性。”

清楚的解释：“建议在这些设备上禁用SSH，如果不这样做，就有可能允许打击者在当地网络解密和拦截通讯。”

为什么渗透测试呈报如此重要？

请谨记：渗透测试是一个科学的过程，像所有科学流程一样，应该是独立可反复的。当客户不对劲测试功效时，他有权要求此外一名测试人员进行复现。如果第一个测试人员没有在呈报中详细说明是如何得出结论的话，第二个测试人员将会不知从何入手，得出的结论也极有可能不一样。更糟糕的是，可能会有潜在缝隙袒露于外部没有被发明。

举个例子：

模糊不清的描述：“我使用端口扫描器检测到了一个开放的TCP端口。“

清晰明了的描述：“我使用Nmap 5.50，对一段端口进行SYN扫描，发明了一个开放的TCP端口。

命令是：nmap –sS –p 7000-8000“

呈报是实实在在的测试过程的输出，且是真实测试功效的证据。对客户高层打点人员（批准用于测试的资金的人）可能对呈报的内容没有什么兴趣，但这份呈报是他们独一一份证明测试用度的证据。渗透测试不像其他类型的合同项目。合同结束了，没有搭建新的系统，也没有往应用措施添加新的代码。没有呈报，很难向别人解释他们刚买的什么对象。

呈报给谁看？

至少有三种类型的人会阅读你的呈报：高级打点人员，IT打点和IT技术人员。

高级打点人员根柢不关心，或者压根不大白它的意思，如果付出处事器使用SSL v2加密连接。他们想知道的答案是“我们此刻到底安不安适？”

IT打点对该组织的整体安适性感兴趣，同时也但愿确保其特定的部门在测试过程中都没有发明任何重大问题。我记得给三个IT经理一份出格详细的呈报。阅读这份呈报后有两小我私家脸色变得苍白，而第三小我私家笑着说“太好了，没有数据库的安适问题”。

IT人员是卖力修复测试过程中发明的问题的人。他们想知道三件事：受影响系统的名称，该缝隙的严重水平以及如何解决它。他们也但愿这些信息以一种清晰而且有组织的方法泛起给他们。最好的要领是将这些信息以资产和严重水平来进行划分。例如“处事器A”存在“缝隙X，Y和Z，缝隙Y是最关键的。这样IT人员就可以快速的找到问题的关键，及时修复。

固然,你可以问你的客户是否愿意对缝隙分组。终究测试是为了他们的利益，他们是付钱的人！一些客户喜欢有个详细说明每个缝隙的页面，并表白受缝隙影响的资产有哪些。

虽然我已经提到了渗透测试呈报三种最常见的读者，但这并不是一个详尽的清单。一旦呈报交付给客户，取决于他们用它干什么。它可能最终被提交给审计人员作为审计的证据。它可以通过发卖团队泛起给潜在客户。“任何人都可以说本身的产品是安适的，但他们可以证明这一点？我们可以看看这里的渗透测试呈报。“

呈报甚至可能最终共享给整个组织。这听起来很猖獗，但它确实产生过。我执行一次社会工程学测试，其功效低于客户的期望。被惹恼的CEO将呈报通报给整个组织，作为提高防止社会工程打击意识的一种方法。更有趣的是，几周后当我访谒同一个公司做一些安适意识的培训。我在自我介绍时说，我就是之前阿谁卖力社工测试的人。愤慨的目光，嘲笑的语气，埋怨我给他们所有人带来几多麻烦。我的内心毫无颠簸，答道：“把暗码给我总比给真正的黑客好。”

呈报应该包罗什么？