web安全服务渗透测试模板

一到渗透测试报告就头疼？一份渗透测试报告模板，远离报告烦恼

一.摘要

1.1基本信息

经xx市xxx单位的授权，xxx渗透测试小组对xx市单位的官方网站（http://www.xxx.yyy.cn）进行了渗透测试

1.2测试方法

在不知道目标网络环境的情况下，模拟黑客攻击，使用各种主流测评工具及自主开发的内部测试工具，参照相应安全性能指标标准进行安全检查

1.3漏洞概要

1.3.1系统层安全测试漏洞概要

1.3.2应用层安全测试漏洞概要

​

漏洞梳理：

• 高危问题：1个
• 中危问题：9个
• 低危问题：1个
  

1.4 系统当前安全状况

经xxx安全评估小组进行全面安全评估后，xxx安全评估小组认为当前系统安全状况如下图。级别为：

二.渗透测试概述

2.1概述

对于已经部署了安全防护措施（安全产品、安全服务）或者即将部署安全防护措施的用户而言，明确网络当前的安全现状对下一步的安全建设有重大的指导意义。渗透测试服务用于验证在当前的安全防护措施下网络、系统抵抗黑客攻击的能力
测试小组利用各种主流的攻击技术对网络、系统做模拟攻击测试，以发现网络、系统中存在的安全漏洞和风险点。企业、组织根据测试的结果遵循安全策略制定适合的、不同优先级别的安全防护措施、流程
渗透测试流程定义为如下阶段：
信息收集
此阶段中，渗透测试小组进行必要的信息收集，如操作系统类型、开放的端口和服务、 web服务应用系统版本、后台数据库类型、web开发语言等
渗透测试
此阶段中，渗透测试小组根据第一阶段获得的信息对网络、系统进行渗透测试。此阶段如果成功的话，可能获得普通权限或系统权限
本地信息收集
此阶段中，渗透测试小组进行本地信息收集，用于下一阶段的权限提升
权限提升
此阶段中，渗透测试小组尝试由普通权限提升为管理员权限，获得对系统的完全控制权。在时间许可的情况下，必要时从第一阶段重新进行
清除
此阶段中，渗透测试小组清除日志记录等数据
输出报告
此阶段中，渗透测试小组根据测试的结果编写直观的渗透测试服务报告

2.2 风险管理

相对其他服务而言，渗透测试是一种需要相当技术深度的高端服务，要求渗透测试人员有丰富的经验及新颖的思路
在渗透测试过程中，虽然我们尽量避免影响正常业务的运行，也会采取适当的风险规避、风险降低的方法，但是由于测试的不确定性，渗透测试服务仍然有可能对网络、系统运行造成一定不同程度的影响，可能造成服务停止，甚至是宕机
另外，对于安全防护措施严密的网络、系统，在有限的时间内进行渗透测试可能不会获得成功结果。这在一定程度也证明了网络、系统能够在一