Giảng viên: Trong
suốt khóa học, chúng tôi đã học được một số phương pháp
để phát hiện ra các lỗi và lỗ hổng trong các loại phần mềm
và cơ sở hạ tầng khác nhau.
Thông thường, khi kết thúc pentest, bạn sẽ
cần thông báo cho khách hàng về tất cả các
lỗ hổng mà bạn đã tìm thấy hoặc với tất cả các
phát hiện, điều này được thực hiện
bằng cách sử dụng báo cáo pentest.
Vì vậy, về cơ bản, ý chúng tôi nói về một báo
cáo năm nhất, nó chỉ là một tài liệu bao gồm mọi thứ
bạn tìm thấy thông qua sự tham gia của
mình để khách hàng hoặc quản trị viên
có thể tiếp tục và sửa chữa tất cả các lỗ hổng và điểm
yếu mà bạn đã tìm thấy.
Các báo cáo này cũng được các giám đốc điều hành đọc rất
nhiều lần, do đó bạn cần phải tính
đến điều đó, vì vậy một báo cáo tốt
phải đủ dễ nhưng cũng phải dễ hiểu.
Bây giờ, nếu bạn đang làm việc như một
pentester, thì công ty mà bạn đang
làm việc có thể sẽ có mẫu riêng và tiêu chuẩn
riêng của họ mà bạn phải tuân theo khi viết
báo cáo.
Và trong nhiều trường hợp,
bạn thậm chí sẽ không làm điều
đó, bạn sẽ chỉ chuyển tiếp những phát hiện của mình cho một thành
viên khác trong nhóm
của bạn và họ sẽ điền đúng vào các ô trống trong báo cáo.
Do đó, bạn có thể sẽ không cần phải viết một báo
cáo từ đầu, và trong
nhiều trường hợp, bạn thậm chí sẽ không viết báo cáo thực tế mà khách hàng
nhìn thấy.
Với điều đó đã được nói, tôi vẫn muốn cho bạn thấy
điều này được thực hiện như thế nào chỉ để cung cấp cho bạn ý
tưởng về một báo cáo năm nhất trông như thế nào.
Trước hết, trước khi cho bạn xem mẫu mà
tôi có, tôi sẽ đưa vào kho lưu
trữ này về cơ bản chứa một số lượng lớn các báo cáo lớn nhất.
Vì vậy, bạn thực sự có thể xem qua những điều này để tìm cảm hứng và chỉ
để xem các phong cách khác nhau mà
các công ty khác nhau tuân theo khi
thực hiện một báo cáo áp lực nhất.
Vì vậy, bạn có thể nhấp vào bất kỳ trong số này và bạn sẽ
tìm thấy báo cáo, và bạn thực
sự có thể xem qua nó để tìm hiểu cách công ty cụ thể này viết báo
cáo của họ và có thể bạn tìm thấy thứ gì đó mà
bạn thích và bạn sẽ bắt đầu đưa vào báo cáo của riêng mình .
Vì vậy, tôi sẽ đưa điều này vào tài nguyên của bài giảng
để bạn có thể quay lại với nó để lấy cảm hứng.
Nhưng điều tôi thực sự muốn
làm là hướng dẫn bạn qua một báo cáo mẫu
mà chúng tôi sử dụng ở đây trong ZSecurity
chỉ để cung cấp cho bạn ý tưởng về các phần chính
mà hầu hết các báo cáo đều có.
Tôi cũng sẽ bao gồm điều này trong các tài nguyên,
vì vậy hãy thoải mái sửa đổi nó và sử dụng nó,
hoặc lấy một số yếu tố của nó nếu bạn muốn.
Vì vậy, bạn sẽ nhận thấy từ kho lưu trữ
ở đây, mỗi công ty có phong cách viết báo cáo riêng, nhưng
nói chung, luôn có một vài phần chính mà bạn sẽ tìm
thấy trong mỗi báo cáo.
Vì vậy, bắt đầu với trang đầu tiên ngay tại
đây, chúng ta có trang bìa.
Vì vậy, một lần nữa, bạn có thể
bán cái này như bạn muốn, bạn sẽ có logo
công ty, bạn có tiêu đề,
và sau đó bạn sẽ có ngày báo cáo và phiên bản, điều này
rất quan trọng.
Và sau đó, chúng tôi có công ty, thông tin công ty của chúng tôi, vì vậy báo
cáo này do chúng tôi viết, đây là thông
tin công ty của chúng tôi.
Và sau đó bạn có trong lĩnh vực for, bạn
có công ty mà bạn đang viết báo cáo này.
Vì vậy, bạn sẽ có tên công ty,
bạn sẽ có một ID cụ thể cho công ty này.
Đây là ID mà bạn xác định công ty này trong
hồ sơ của riêng bạn.
Một lần nữa, đây có thể không
phải là điều bạn sẽ tự
làm, bạn sẽ được cấp ID này bởi chính công ty của bạn.
Và sau đó chúng tôi có thông tin liên hệ của cả hai công ty.
Vì vậy, bạn có thể thấy trong công ty này, chúng
tôi có pentester 1 và pentester 2 với địa chỉ email
của họ, đây rõ ràng có thể là một
danh sách lớn hơn với tất cả các nhóm đang làm pentest
và tương tự như công ty
mà bạn đang làm pentest một lần nữa,
bạn có tên của họ, vị trí của họ trong
công ty và thông tin liên hệ của họ.
Bây giờ, một lần nữa, hãy
nhớ rằng, bạn không phải lúc nào cũng phải tạo kiểu cho trang đầu
tiên như thế này, nhưng ít nhiều thì ở trang đầu
tiên, bạn sẽ có tiêu đề, ngày tháng, phiên bản
và thông tin liên hệ , đây là cách
chúng tôi thực hiện,
nhưng một lần nữa, bạn có thể làm theo
cách bạn muốn và bạn có thể lấy cảm
hứng từ tài nguyên mà tôi sẽ đưa vào đây.
Tiếp theo, chúng ta thường có mục lục.
Một lần nữa, như bạn
có thể thấy, những thứ đơn giản, thường chúng ta sẽ có trong bất kỳ loại tài liệu nào.
Điều này sẽ giúp bạn điều hướng trong toàn bộ tài liệu này.
Và như tôi đã nói, tại đây, chúng
ta có thể xem các phần chính của bất kỳ báo cáo nào.
Vì vậy, điều rất quan trọng là phải có một bản tóm tắt điều hành,
đây là bản tóm tắt toàn bộ sự tham gia được thiết
kế cho những người ít kỹ thuật hơn.
Vì vậy, nó phải cung cấp cho họ ý tưởng về những phát hiện
của bạn mà không cần đi sâu vào các chi tiết kỹ thuật.
Sau đó, chúng tôi có một bản tóm tắt về mức
độ tương tác trong đó chúng tôi
nêu chi tiết phạm vi, vì vậy đây là những
gì bạn đã thử nghiệm, những phần nào trong hệ thống
của họ mà bạn đã thử nghiệm, xếp hạng rủi ro
mà bạn đã sử dụng và tổng quan về mọi thứ bạn tìm thấy.
Vì vậy, một lần nữa, cho đến nay chúng tôi không
lặn sâu hay đơn giản, đây chỉ là một bản tóm tắt của toàn bộ sự tham gia.
Bạn sẽ hiểu rõ hơn về tất cả những
điều này khi tôi xem qua báo cáo.
Và sau đó trong phần chi tiết kỹ thuật, đây
là nơi bạn thực sự đi sâu vào
mọi thứ mà bạn tìm thấy.
Vì vậy, về cơ bản chúng tôi có một phần cho mọi phát hiện.
Vì vậy, như bạn có thể thấy, đây chỉ
là một mẫu, vì vậy tôi chỉ thực hiện
ba phát hiện, chúng tôi có một nội dung SQL, một truy vấn yêu
cầu chéo trang web, một CSRF và một tiết lộ thông tin.
Vì vậy, như bạn có thể thấy trong
phần đầu tiên, về cơ bản chúng tôi chỉ
có bản tóm tắt của
mọi thứ mà chúng tôi tìm thấy,
trong khi về chi tiết kỹ thuật, về cơ bản chúng tôi chia
nhỏ mọi phát hiện và chúng tôi sẽ nói về cách chúng
tôi tìm thấy nó trong
chi tiết, cách sao chép nó, bạn sẽ bao gồm ảnh
chụp màn hình nếu có thể để nhóm kỹ thuật có thể hiểu chính
xác mức độ nghiêm trọng của lỗ hổng này và cách khắc phục.
Bạn sẽ nhận thấy các công ty khác sẽ bao gồm phụ
lục ở cuối, họ sẽ
bao gồm các khuyến nghị, nơi họ sẽ cho bạn biết
chính xác cách sửa chữa các lỗ hổng.
Như tôi đã nói, nó thực sự phụ thuộc vào từng
công ty, mỗi công ty đều có phong cách
riêng và mỗi công ty đều có định dạng riêng.
Vì vậy, những gì tôi đang
cho bạn thấy ngay đây chỉ là một ví dụ về cách
chúng tôi làm điều đó, bạn có thể lấy cảm hứng từ các
tài nguyên và trong nhiều
trường hợp, bạn sẽ chỉ phải làm theo mẫu mà
công ty của bạn có bởi vì họ không muốn bạn làm điều đó theo cách của riêng
bạn.
Vì vậy, hãy chuyển sang trang tiếp theo,
và bạn sẽ thấy trong trang này,
chúng tôi có thông tin pháp lý.
Và đó là lý do tại sao tôi thực sự
đã nói, có thể bạn sẽ không tự mình
làm điều này, bạn sẽ không bao giờ cần
phải tự mình làm điều này vì bạn sẽ có những phần của báo cáo như thế này
mà bạn sẽ không bao giờ phải sửa đổi,
và chúng sẽ thực sự được viết bởi nhóm pháp lý trong công
ty của bạn.
Vì vậy, họ sẽ tính đến bất cứ điều gì có thể nằm ngoài tầm kiểm soát
để đảm bảo rằng bạn sẽ không bị kiện
nếu có bất kỳ điều gì sai trái, nó sẽ chứa
những thứ như tuyên bố từ chối trách nhiệm, GDPR, quyền riêng tư, nội
dung pháp lý và tất cả những thứ mà chúng
tôi không 't thực sự biết rất rõ như những người viết thuê
và những người hợp pháp thường viết.
Và sau đó chúng tôi có nhật ký thay đổi của tài liệu.
Vì vậy, mỗi khi có thay đổi đối với tài liệu, bạn có thể thấy, chúng
tôi có ngày tháng, chúng tôi có phiên
bản và chúng tôi có nhận xét, tại sao chúng tôi lại thực
hiện thay đổi này?
Hoặc có gì đáng kể về sự thay đổi này?
Vì vậy, đây là báo cáo ban đầu khi chúng tôi thực
hiện vào ngày 1 tháng 1, và sau đó
vào ngày 10 tháng 1, chúng tôi
thực hiện phiên bản thứ hai khi
chúng tôi hoàn thành Giai đoạn Recon.
Một lần nữa, đây chỉ là các mẫu,
nhưng chỉ để cung cấp cho bạn một ý tưởng rằng việc lưu
giữ nhật ký thay đổi của tất cả các thay đổi mà tài liệu
này trải qua là rất, rất quan trọng.
Không phải tất cả các công ty đều làm điều
đó, nhưng một lần nữa, đó chỉ là lựa chọn của riêng chúng
tôi để thêm nó vào báo cáo của mình.
Tôi tiếp tục nói điều này chỉ để cung cấp cho
bạn một ý tưởng rằng không có quy tắc
thiết lập để tạo ra các loại tài liệu này.
Bạn có thể thêm hoặc bớt bất cứ thứ gì bạn
muốn, nhưng các phần chính sẽ là phần pháp lý,
phần tóm tắt điều hành và sau đó là phần kỹ thuật,
đây sẽ là những phần chính của báo cáo.
Vì vậy, bây giờ chúng tôi có bản tóm tắt điều hành và bạn
có thể đọc qua phần này.
Điều này không được cho là
dài, vì vậy theo
tôi, nó cần phải là một trang, tối đa hai trang
nếu bạn thực sự phải.
Và về cơ bản nó chỉ nói rằng,
chúng tôi đã được hướng dẫn để kiểm tra hệ thống X, nó sẽ
giải thích cách tổ chức tài liệu này, trong đó phần đầu
tiên ít chi tiết hơn, chỉ để cung cấp
cho bạn ý tưởng về rủi ro và sau đó phần
thứ hai là chi tiết cho những người kỹ thuật
để hiểu những rủi ro này và khắc phục chúng.
Và sau đó chúng tôi đưa ra xếp hạng rủi
ro, vì vậy chúng tôi giả định rằng điều này
có rủi ro cao dựa trên các lỗ hổng mà chúng tôi tìm
thấy, nó sẽ trình bày chi tiết phương pháp mà chúng tôi đã theo dõi.
Và sau đó, chúng tôi có một số biểu đồ ở đây.
Hãy nhớ rằng, phần này đã được đọc bởi các giám
đốc điều hành, đây là những người không
phải là rất kỹ thuật, và họ cũng không có nhiều thời gian.
Vì vậy, chúng tôi bao gồm các biểu đồ ở đây để
hiển thị cho họ số lượng lỗ hổng mà chúng tôi đã tìm thấy.
Vì vậy, chúng ta có thể thấy, chúng ta có 5 điểm yếu là cao,
chúng ta có 10 điểm là trung bình và 8 điểm là thấp.
Vì vậy, điều này sẽ cung cấp cho họ một sự hiểu biết
thực sự tốt về các mối đe dọa mà họ phải đối mặt.
Và sau đó chúng ta sẽ đi vào phần tóm tắt.
Một lần nữa, điều này vẫn sẽ được đọc bởi những người ít kỹ thuật hơn.
Vì vậy, trước hết, chúng tôi nêu chi tiết phạm vi để đảm
bảo rằng chúng tôi cho họ biết những gì chúng tôi đã thử nghiệm,
mặc dù họ đã nói với chúng tôi những gì cần kiểm tra,
để đề phòng trong tương lai, nếu điều gì đó được phát
hiện ngoài phạm vi của chúng tôi và họ quay lại với chúng tôi,
chúng tôi có thể nói, tốt,
điều này nằm ngoài phạm vi, chúng tôi đã không kiểm tra điều
này.
Tiếp theo, chúng tôi bao gồm xếp hạng rủi ro.
Vì vậy, bạn sẽ có điều này trong mọi
tài liệu mà bạn muốn tôi sửa đổi, về
cơ bản chúng tôi chỉ đang nói cách chúng tôi phân loại một
lỗ hổng bảo mật nhất định là thấp, trung bình, cao hoặc nghiêm trọng.
Và theo ý kiến của chúng tôi, chúng tôi đang nói
rằng bạn nên xử lý các lỗ hổng bảo mật thấp, trung bình,
cao và nghiêm trọng như thế nào.
Bạn có thể thấy đối với mức quan trọng,
chúng tôi nói rằng bạn cần phải khắc phục ngay lập
tức, trong khi đối với mức thấp, bạn cần sửa
trong chu kỳ cập nhật tiếp theo.
Một lần nữa, đây chỉ là ý kiến của riêng chúng tôi.
Tiếp theo, chúng tôi có tổng quan về phát hiện.
Vì vậy, chúng ta vẫn đang ở phần một,
điều này vẫn là của các giám đốc điều hành,
chúng ta không cần phải đi sâu quá.
Vì vậy, chúng tôi chỉ cung cấp ID lỗ hổng.
Và bạn có thể thấy, đối với lỗ hổng đầu tiên, nó rất quan
trọng, đó là SQL injection.
Và trong nhiều trường hợp, trong nhiều báo
cáo, họ sẽ thực sự dừng lại ở việc nói rằng, đó chỉ là một SQL injection.
Chúng tôi muốn thực sự thể hiện tác động trong phần này, bởi
vì như tôi đã nói, những người này không
phải là kỹ thuật, vì vậy nếu họ đọc
SQL injection, họ có thể không biết SQL injection
là gì, điều họ quan tâm là tác động của lỗ hổng này.
Một lần nữa, họ không có nhiều thời gian, vì
vậy bạn cần phải đi thẳng vào vấn đề, vì vậy những gì
chúng tôi đang làm là chúng tôi đang nói rằng đó là một SQL injection
có thể dẫn đến một quyền truy cập cơ sở dữ liệu được cấp phép.
Vì vậy, bây giờ họ biết với lỗ hổng này,
một hacker có thể truy cập vào
cơ sở dữ liệu của họ, điều này có lẽ là khá tệ.
Một lỗ hổng khác mà chúng tôi tìm thấy là trung bình, và CSRF
một lần nữa, nhiều báo cáo sẽ dừng lại ở đây, không thực sự giải thích bất
cứ điều gì cho những người không phải là kỹ thuật.
Vì vậy, chúng tôi đang nói rằng khách hàng có thể bị buộc phải
gửi một số yêu cầu không quan trọng, đó là lý do tại sao đó là một
phương tiện, không phải là các yêu cầu không
quan trọng, nhưng họ có thể bị buộc phải gửi nội dung.
Và sau đó, chúng tôi có một lỗ hổng
thấp khi phiên bản PHP được tiết lộ, vì vậy
điều này không thực sự quá nghiêm trọng
vì nó không phải là một lỗ hổng thực
tế có thể bị khai thác để truy cập hoặc làm lộ dữ liệu người dùng, nhưng thông tin
này có thể hữu ích cho các tin tặc. các cuộc tấn công
khác hoặc phát hiện ra các
lỗ hổng cho phiên bản PHP cụ thể này và đó là lý do tại sao nó được phép, đó là lý do tại sao
nó không cần phải được xử lý khẩn cấp như những
lỗ hổng nghiêm trọng như chúng tôi đã
đề cập ở trên ở đây.
Và vui lòng đọc văn bản ở đây,
bạn sẽ thấy rất nhiều nội dung về cơ bản chỉ là để xóa lỗi
của chúng tôi và đảm bảo rằng họ hiểu mọi thứ
có trong báo cáo.
Và đó sẽ là phần cuối của bản tóm tắt, và bây giờ
chúng ta sẽ đi vào chi tiết kỹ thuật.
Vì vậy, trong phần này, về cơ bản, chúng ta đang có, như tôi
đã nói, một phần phụ cho mọi phát hiện mà chúng ta có,
và chúng ta đang thực sự đi sâu vào chi tiết
của phát hiện này.
Vì vậy, bạn có thể thấy đây là SQL injection
mà chúng tôi đã đề cập trước đó trong phần tóm
tắt, nhưng lần này chúng tôi thực sự cung cấp
cho họ URL dễ bị tấn
công, chúng tôi cung cấp cho họ tham số dễ bị tấn công,
chúng tôi cung cấp cho họ tài liệu tham
khảo để hiểu những gì SQL injection trong trường hợp họ không hiểu nó,
chúng tôi sẽ đưa cho họ yêu cầu chính
xác và phản hồi chính xác mà chúng tôi nhận được, điều
này khiến chúng tôi xác định rằng trang cụ thể này dễ bị tấn công bởi
SQL injection.
Sau đó, chúng tôi đang cho họ tác động ở đây chi tiết,
không chỉ nói rằng họ có thể truy cập cơ sở dữ liệu, vì
vậy chúng tôi nói rằng họ có thể truy cập
cơ sở dữ liệu, họ có thể truy xuất dữ
liệu, chúng tôi có quyền truy cập vào bảng của
người dùng, vì vậy bạn sẽ đi sâu
vào chi tiết và bạn thậm chí nên bao gồm ảnh chụp màn hình
ở đây nếu bạn nghĩ rằng nó sẽ hữu ích.
Trong phần giảm thiểu,
chúng tôi chỉ đưa ra khuyến nghị nhanh
cho họ, như tôi đã nói, một số công ty đưa ra các khuyến nghị chi tiết,
điều này thực sự phụ thuộc vào sự tham gia.
Vì vậy, trong ví dụ này, về cơ bản, chúng tôi chỉ nói,
sử dụng các câu lệnh đã chuẩn bị sẵn với các truy vấn được tham số hóa và chúng
tôi đang cung cấp cho họ tài liệu tham khảo để tìm hiểu cách thực
hiện điều đó hoặc hiểu cách hoạt động của nó.
Và đó là khá nhiều.
Vì vậy, bạn sẽ lặp lại rằng đối
với mỗi lỗ hổng mà bạn tìm
thấy, tôi để trống phần còn lại vì đây chỉ là một mẫu, nhưng bạn
có ý tưởng.
Vì vậy, bạn sẽ có một phần phụ cho mọi phát hiện mà
bạn có, giải thích mọi thứ chi tiết để mọi người
hiểu lỗ hổng và sau đó họ có thể
tiếp tục và sửa chữa nó.
Cuối cùng, nhiều công ty sẽ có một phụ lục và họ có thể
có một phần giới thiệu lớn hơn, như tôi đã nói, đây là
phong cách viết báo cáo của chúng tôi, nhưng mỗi
công ty có phong cách riêng của họ.
Nếu bạn thích điều này, có thể dành thời
gian xem qua các báo cáo mẫu mà chúng
tôi có trong kho lưu trữ này.
Rõ ràng là tôi sẽ bao gồm cả các liên kết cho mẫu của tôi và
cho các mẫu khác trong các tài nguyên
để bạn có thể tự mình xem qua chúng và có
được ý tưởng về các báo cáo năm nhất trông như thế nào.
Nhưng như tôi đã nói, trong nhiều
trường hợp, bạn chỉ cần điền vào một mẫu tương
tự như những gì chúng tôi có ở đây,
vì vậy bạn sẽ không bao giờ được yêu cầu đưa ra một mẫu từ đầu.