网络安全工程师自救指南：用 Python 自动生成钓鱼邮件渗透测试报告

在网络安全领域，钓鱼邮件渗透测试是评估企业网络安全防护能力的重要手段。完成测试后，编写详细、规范的报告往往耗时耗力，且容易出现人为疏漏。作为网络安全工程师，借助 Python 自动化生成钓鱼邮件渗透测试报告，不仅能提升工作效率，还能确保报告的准确性和专业性。本文将详细介绍如何使用 Python 实现这一高效工作方式。

一、钓鱼邮件渗透测试报告需求分析

一份完整的钓鱼邮件渗透测试报告通常包含以下核心内容：

1. 测试背景与目标：说明本次钓鱼邮件测试的目的，例如检测企业员工对钓鱼邮件的识别能力，评估现有安全意识培训效果等。
2. 测试方案设计：描述测试过程中使用的钓鱼邮件模板、发送方式、目标群体等信息。
3. 测试数据统计：包括发送的邮件数量、打开邮件的数量、点击邮件中链接的数量、输入敏感信息（如账号密码）的数量等关键数据。
4. 风险分析：根据测试数据，分析企业面临的钓鱼邮件安全风险。
5. 改进建议：针对测试中发现的问题，提出具体的改进措施和建议，如加强安全意识培训、优化邮件过滤策略等。

二、Python 实现自动生成报告的思路

1. 数据收集：从邮件发送平台、日志记录等数据源获取钓鱼邮件测试的相关数据。
2. 模板设计：使用 Python 的字符串模板功能，设计报告的文本模板，预留数据填充位置。
3. 数据填充：将收集到的数据填充到模板中，生成完整的报告内容。
4. 报告输出：将生成的报告内容保存为文本文件、PDF 文件或直接发送到指定邮箱。

三、具体代码实现

3.1 数据收集与整理

假设我们已经从邮件发送平台获取到了测试数据，并以字典形式存储。示例数据如下：

test_data = {
    "total_sent": 500,  # 发送邮件总数
    "opened_count": 100,  # 打开邮件数量
    "clicked_count": 30,  # 点击链接数量
    "credentials_submitted": 10  # 提交敏感信息数量
}

在实际应用中，数据可能来源于数据库查询、API 接口调用等，需要根据具体情况编写相应的数据获取代码。

3.2 设计报告模板

使用 Python 的string.Template类来设计报告模板，该类支持使用$符号作为占位符。示例模板如下：

from string import Template

report_template = Template("""
# 钓鱼邮件渗透测试报告

## 一、测试背景与目标
为评估企业员工对钓鱼邮件的识别能力及现有安全防护体系的有效性，开展本次钓鱼邮件渗透测试。

## 二、测试方案设计
本次测试向$total_sent名员工发送精心设计的钓鱼邮件，模拟真实钓鱼场景。

## 三、测试数据统计
1. 发送邮件总数：$total_sent封
2. 打开邮件数量：$opened_count封，打开率：${opened_percentage:.2f}%
3. 点击链接数量：$clicked_count次，点击率：${clicked_percentage:.2f}%
4. 提交敏感信息数量：$credentials_submitted次

## 四、风险分析
从测试数据来看，有$opened_count名员工打开了钓鱼邮件，其中$clicked_count人点击了链接，更有$credentials_submitted人提交了敏感信息。这表明企业员工对钓鱼邮件的防范意识较为薄弱，存在较大的信息泄露风险。若这些钓鱼邮件为真实攻击，企业的核心数据和资产将面临严重威胁。

## 五、改进建议
1. 加强员工安全意识培训，定期开展钓鱼邮件防范专题培训，提高员工对钓鱼邮件的识别能力。
2. 优化企业邮件过滤策略，加强对可疑邮件的拦截和识别。
3. 建立钓鱼邮件应急响应机制，一旦发现钓鱼邮件攻击，能够迅速采取措施进行处理。
""")

3.3 数据填充与报告生成

将收集到的数据填充到模板中，并计算相关百分比数据，生成完整的报告内容。代码如下：

def generate_report(test_data):
    # 计算百分比
    test_data["opened_percentage"] = test_data["opened_count"] / test_data["total_sent"] * 100
    test_data["clicked_percentage"] = test_data["clicked_count"] / test_data["total_sent"] * 100

    # 填充模板
    report_content = report_template.substitute(test_data)
    return report_content

3.4 报告输出

将生成的报告内容保存为文本文件。代码如下：

def save_report(report_content, file_path):
    with open(file_path, 'w', encoding='utf-8') as file:
        file.write(report_content)

3.5 主程序调用

if __name__ == "__main__":
    test_data = {
        "total_sent": 500,
        "opened_count": 100,
        "clicked_count": 30,
        "credentials_submitted": 10
    }
    report_content = generate_report(test_data)
    save_report(report_content, "phishing_report.txt")
    print("报告生成完成！")

四、完整代码

from string import Template


def generate_report(test_data):
    # 计算百分比
    test_data["opened_percentage"] = test_data["opened_count"] / test_data["total_sent"] * 100
    test_data["clicked_percentage"] = test_data["clicked_count"] / test_data["total_sent"] * 100

    report_template = Template("""
# 钓鱼邮件渗透测试报告

## 一、测试背景与目标
为评估企业员工对钓鱼邮件的识别能力及现有安全防护体系的有效性，开展本次钓鱼邮件渗透测试。

## 二、测试方案设计
本次测试向$total_sent名员工发送精心设计的钓鱼邮件，模拟真实钓鱼场景。

## 三、测试数据统计
1. 发送邮件总数：$total_sent封
2. 打开邮件数量：$opened_count封，打开率：${opened_percentage:.2f}%
3. 点击链接数量：$clicked_count次，点击率：${clicked_percentage:.2f}%
4. 提交敏感信息数量：$credentials_submitted次

## 四、风险分析
从测试数据来看，有$opened_count名员工打开了钓鱼邮件，其中$clicked_count人点击了链接，更有$credentials_submitted人提交了敏感信息。这表明企业员工对钓鱼邮件的防范意识较为薄弱，存在较大的信息泄露风险。若这些钓鱼邮件为真实攻击，企业的核心数据和资产将面临严重威胁。

## 五、改进建议
1. 加强员工安全意识培训，定期开展钓鱼邮件防范专题培训，提高员工对钓鱼邮件的识别能力。
2. 优化企业邮件过滤策略，加强对可疑邮件的拦截和识别。
3. 建立钓鱼邮件应急响应机制，一旦发现钓鱼邮件攻击，能够迅速采取措施进行处理。
""")

    # 填充模板
    report_content = report_template.substitute(test_data)
    return report_content


def save_report(report_content, file_path):
    with open(file_path, 'w', encoding='utf-8') as file:
        file.write(report_content)


if __name__ == "__main__":
    test_data = {
        "total_sent": 500,
        "opened_count": 100,
        "clicked_count": 30,
        "credentials_submitted": 10
    }
    report_content = generate_report(test_data)
    save_report(report_content, "phishing_report.txt")
    print("报告生成完成！")

五、功能扩展与优化

1. 数据来源扩展：支持从 CSV 文件、数据库（如 MySQL、SQLite）、API 接口等多种数据源获取测试数据。
2. 报告格式多样化：除了生成文本文件，还可以使用pdfkit等库将报告转换为 PDF 格式，或者通过邮件发送功能直接将报告发送给相关负责人。
3. 动态模板调整：根据不同的测试场景和需求，动态调整报告模板内容，使报告更加灵活和个性化。

六、总结

通过使用 Python 自动生成钓鱼邮件渗透测试报告，网络安全工程师能够节省大量时间和精力，提高工作效率，同时保证报告的准确性和规范性。在实际工作中，可根据具体需求对代码进行进一步优化和扩展，使其更好地服务于网络安全测试工作。希望本文分享的内容能够帮助你在网络安全领域的工作更加轻松高效，快速生成高质量的测试报告。