Sepanjang kursus, kami mempelajari sejumlah metode untuk menemukan bug dan kerentanan
di berbagai jenis perangkat lunak dan infrastruktur, biasanya di akhir pengujian Anda perlu memberi tahu klien tentang semua
kerentanan yang Anda temukan atau dengan semua temuan.
Ini dilakukan dengan menggunakan laporan pengujian.
Jadi pada dasarnya apa yang kami maksud dengan laporan pengujian, itu hanya sebuah dokumen yang
mencakup semua yang Anda temukan melalui keterlibatan Anda sehingga klien atau admin dapat melanjutkan dan memperbaiki semua kerentanan dan
kelemahan yang Anda temukan.
Laporan-laporan ini juga sering dibaca oleh para eksekutif.
Oleh karena itu, Anda perlu memperhitungkannya.
Jadi laporan yang baik harus cukup mudah.
Tetapi juga mudah dipahami sekarang jika Anda bekerja sebagai penguji, maka perusahaan tempat Anda bekerja
mungkin akan memiliki template dan standar mereka sendiri yang harus Anda ikuti saat menulis
laporan.
Dan dalam banyak kasus, Anda bahkan tidak akan melakukan itu.
Anda cukup meneruskan temuan Anda ke anggota lain di tim Anda sendiri dan mereka akan mengisi bagian
yang kosong dengan benar dalam laporan.
Oleh karena itu, Anda mungkin tidak perlu menulisnya dari awal.
Dan dalam banyak kasus Anda bahkan tidak akan menulis laporan aktual yang dilihat klien.
Dengan itu, saya masih ingin menunjukkan kepada Anda bagaimana ini dilakukan, hanya untuk memberi Anda gambaran tentang
seperti apa laporan pengujian itu.
Sekarang, pertama-tama, sebelum saya menunjukkan contoh yang saya miliki, saya akan menyertakan
repositori ini, yang pada dasarnya berisi sejumlah besar laporan Pantazi.
Jadi Anda benar-benar dapat melihat melalui ini untuk mendapatkan inspirasi dan hanya untuk melihat gaya berbeda yang diikuti
oleh perusahaan yang berbeda saat membuat laporan pengujian.
Jadi Anda dapat mengklik salah satu dari ini dan Anda akan menemukan laporannya dan Anda benar-benar dapat menelusurinya
untuk mempelajari bagaimana perusahaan tertentu ini, Anda menulis laporan mereka dan mungkin Anda menemukan sesuatu yang Anda sukai yang akan
Anda mulai sertakan dalam laporan Anda sendiri .
Jadi saya akan memasukkan ini ke dalam sumber kuliah sehingga Anda bisa kembali ke sana untuk mendapatkan inspirasi.
Tapi yang benar-benar ingin saya lakukan adalah memandu Anda melalui contoh laporan yang kami gunakan di sini untuk keamanan.
Hanya untuk memberi Anda gambaran tentang bagian utama yang dimiliki sebagian besar laporan.
Saya juga akan memasukkan ini ke dalam sumber daya.
Jadi jangan ragu untuk memodifikasinya dan menggunakannya atau mengambil beberapa elemennya jika Anda mau.
Jadi Anda akan melihat dari repositori di sini, setiap perusahaan memiliki gaya penulisan laporannya sendiri, tetapi secara
umum selalu ada beberapa bagian utama yang akan Anda temukan di setiap laporan.
Jadi dimulai dengan halaman pertama di sini, kami memiliki halaman sampul.
Jadi sekali lagi, Anda bisa menjual ini sesuka Anda.
Anda biasanya memiliki logo perusahaan, Anda memiliki judul, dan kemudian Anda akan memiliki tanggal laporan
dan versi.
Ini sangat penting.
Dan kemudian kami memiliki perusahaan, informasi perusahaan kami.
Demikian laporan ini kami buat.
Ini adalah informasi perusahaan kami.
Dan kemudian Anda berada di medan perang, Anda memiliki perusahaan tempat Anda menulis laporan ini.
Jadi Anda akan memiliki nama perusahaan, Anda akan memiliki ID khusus untuk perusahaan ini.
Ini adalah gagasan bahwa Anda mengidentifikasi perusahaan ini dalam catatan Anda sendiri.
Sekali lagi, ini mungkin bukan sesuatu yang akan Anda lakukan sendiri.
Anda akan diberikan ide ini oleh perusahaan Anda sendiri.
Dan kemudian kami memiliki informasi kontak untuk kedua perusahaan.
Jadi Anda dapat melihat di perusahaan ini kami memiliki ini di sana dan kemudian Penguji dua dengan alamat email mereka.
Ini bisa menjadi daftar yang lebih besar dengan semua tim yang melakukan tes dan mirip dengan
perusahaan tempat Anda melakukan tes.
Sekali lagi, Anda memiliki nama mereka, posisi mereka di perusahaan dan informasi kontak mereka.
Sekarang, sekali lagi, perlu diingat, Anda tidak selalu harus menata halaman pertama seperti ini, tetapi kurang
lebih biasanya di halaman pertama, Anda akan memiliki judul, tanggal, versi, dan informasi kontak.
Beginilah Cara kita melakukanya.
Tetapi sekali lagi, Anda dapat melakukannya dengan cara yang Anda inginkan dan Anda dapat menarik inspirasi dari sumber yang akan saya
sertakan di sini.
Selanjutnya, kami biasanya memiliki daftar isi lagi, seperti yang Anda lihat, hal-hal sederhana biasanya ada
di semua jenis dokumen.
Ini akan membantu Anda menavigasi seluruh dokumen ini.
Dan seperti yang saya katakan di sini, kita dapat melihat bagian utama dari setiap laporan protes.
Jadi sangat penting untuk memiliki ringkasan eksekutif.
Ini adalah ringkasan dari seluruh keterlibatan yang dirancang untuk orang yang kurang teknis.
Jadi itu seharusnya memberi mereka gambaran tentang temuan Anda tanpa menyelam terlalu dalam ke detail teknis.
Kemudian kami memiliki ringkasan keterlibatan di mana kami merinci ruang lingkupnya.
Jadi inilah yang Anda uji, bagian mana dari sistem mereka yang Anda uji, peringkat risiko
yang Anda gunakan, dan ikhtisar semua yang Anda temukan.
Jadi, sekali lagi, sejauh ini, kami tidak menyelam lebih dalam atau ini hanya ringkasan dari keseluruhan pertunangan.
Anda akan mendapatkan ide yang lebih baik tentang semua ini saat saya membaca laporan.
Dan kemudian di bagian detail teknis, di sinilah Anda menyelami semua yang Anda temukan.
Jadi pada dasarnya kami memiliki bagian untuk setiap temuan.
Jadi seperti yang Anda lihat, ini hanya contoh.
Jadi saya hanya membuat tiga temuan.
Kami memiliki injeksi awal, pemalsuan permintaan lintas situs.
Ya.
SRF dan keterbukaan informasi.
Jadi seperti yang Anda lihat di bagian pertama, pada dasarnya kami hanya memiliki
ringkasan dari semua yang kami temukan, sedangkan dalam detail teknis pada dasarnya merinci setiap temuan.
Dan kita akan berbicara tentang bagaimana kita menemukannya secara detail, bagaimana menirunya.
Anda akan menyertakan tangkapan layar, jika Anda bisa, sehingga tim teknis dapat memahami dengan tepat
tingkat keparahan kerentanan ini dan cara memperbaikinya.
Anda akan melihat perusahaan lain akan menyertakan lampiran di akhir, mereka akan menyertakan rekomendasi di mana mereka akan
memberi tahu Anda dengan tepat cara memperbaiki kerentanan.
Seperti yang saya katakan, itu benar-benar tergantung pada perusahaan.
Setiap perusahaan memiliki gayanya sendiri dan setiap perusahaan memiliki formatnya sendiri.
Jadi apa yang saya tunjukkan di sini hanyalah contoh bagaimana kami melakukannya.
Anda dapat menarik inspirasi dari sumber daya dan dalam banyak kasus Anda hanya perlu mengikuti template yang dimiliki
perusahaan Anda karena mereka tidak ingin Anda melakukannya dengan cara Anda sendiri.
Jadi mari kita pergi ke halaman berikutnya dan Anda akan melihat di halaman ini kami memiliki informasi hukum.
Dan itulah mengapa saya benar-benar mengatakan Anda mungkin tidak akan melakukannya sendiri.
Anda tidak perlu melakukan ini sendiri karena Anda akan memiliki bagian dari laporan seperti ini.
Anda tidak perlu mengubah dan mereka akan benar-benar ditulis oleh tim hukum di perusahaan Anda.
Jadi mereka akan mempertanggungjawabkan apa pun yang bisa lepas kendali untuk memastikan bahwa Anda tidak akan dituntut.
Jika ada yang tidak beres, itu akan berisi hal-hal seperti penafian, PDB, privasi kami, hal-hal hukum, dan semua
hal yang tidak kami ketahui dengan baik.
Saya penguji dan orang hukum biasanya menulis, dan kemudian kami memiliki changelog dokumen.
Jadi setiap kali ada perubahan pada dokumen, Anda dapat melihat kami memiliki tanggal, kami memiliki versi dan
kami memiliki komentar.
Mengapa kami melakukan perubahan ini atau apa yang penting dari perubahan ini?
Jadi ini adalah laporan awal yang kami buat pada tanggal 1 Januari lalu pada tanggal 10 Januari kami
membuat versi kedua dimana tahap kedua sudah selesai.
Sekali lagi, ini hanya sampel.
Tetapi hanya untuk memberi Anda gambaran bahwa menyimpan catatan perubahan dari semua perubahan yang dilalui
dokumen ini sangat, sangat penting.
Tidak semua perusahaan melakukannya.
Tapi sekali lagi, itu hanya pilihan kami sendiri untuk menambahkannya dalam laporan kami.
Saya terus mengatakan ini hanya untuk memberi Anda gambaran bahwa tidak ada aturan yang ditetapkan untuk membuat dokumen semacam ini.
Anda dapat menambahkan atau menghapus apa pun yang Anda inginkan, tetapi bagian utamanya adalah bagian hukum, ringkasan
eksekutif, dan kemudian bagian teknis.
Ini akan menjadi bagian utama dari laporan.
Jadi sekarang kami memiliki ringkasan eksekutif dan Anda dapat membaca ini.
Ini tidak seharusnya lama.
Jadi menurut saya, perlu halaman maksimal dua halaman jika Anda benar-benar harus.
Dan pada dasarnya hanya mengatakan bahwa kami diperintahkan untuk menguji suatu sistem.
Ini akan menjelaskan bagaimana dokumen ini diatur, di mana bagian pertama kurang rinci, hanya untuk memberi
Anda gambaran tentang risikonya.
Dan yang kedua dirinci untuk orang-orang teknis untuk memahami risiko ini dan memperbaikinya dan kemudian
diberi peringkat risiko.
Jadi kami berasumsi ini berisiko tinggi berdasarkan kerentanan yang kami temukan.
Ini akan merinci metodologi yang kami ikuti.
Dan kemudian kami memiliki beberapa grafik di sini.
Ingat, bagian ini sedang dibaca oleh para eksekutif.
Ini adalah orang-orang yang tidak terlalu teknis sebagian besar waktu, dan mereka juga tidak punya banyak waktu.
Jadi kami menyertakan grafik di sini untuk menunjukkan kepada mereka jumlah kerentanan yang kami temukan.
Jadi kita bisa melihat kita memiliki lima kerentanan yang tinggi.
Kami memiliki 10 yang sedang dan delapan yang rendah.
Jadi ini akan memberi mereka pemahaman yang sangat baik tentang ancaman yang mereka hadapi.
Dan kemudian kita akan masuk ke ringkasan lagi.
Ini masih akan dibaca oleh orang-orang yang kurang teknis.
Jadi, pertama-tama, kami merinci ruang lingkup untuk memastikan bahwa kami memberi tahu mereka apa yang kami uji, meskipun
mereka sudah memberi tahu kami apa yang harus diuji, hanya agar di masa depan, jika sesuatu ditemukan di
luar ruang lingkup kami dan mereka kembali kepada kami, kami dapat mengatakan, ini di luar jangkauan.
Kami tidak menguji ini tahun depan, termasuk peringkat risiko.
Jadi Anda akan memiliki ini di setiap dokumen.
Anda ingin saya mengubahnya.
Kami pada dasarnya hanya mengatakan bagaimana kami akan mengklasifikasikan kerentanan tertentu sebagai rendah, sedang, tinggi atau
kritis.
Dan kami mengatakan, menurut pendapat kami, bagaimana Anda harus menangani kerentanan rendah, sedang, tinggi, dan kritis yang dapat Anda
lihat untuk kritis, kami katakan Anda harus segera memperbaikinya, sedangkan untuk hukum Anda perlu
memperbaikinya di masa mendatang. siklus pembaruan.
Sekali lagi, ini hanya pendapat kami sendiri.
Selanjutnya, kami memiliki temuan review.
Jadi kita masih di bagian satu.
Ini masih untuk eksekutif.
Kita tidak perlu menyelam terlalu dalam.
Jadi kami hanya diberi ide kerentanan.
Dan Anda dapat melihat kerentanan pertama, ini sangat penting.
Ini adalah suntikan Yehezkial.
Dan dalam banyak kasus, dalam banyak laporan, mereka benar-benar akan menghentikannya, dengan mengatakan itu hanya suntikan ESKIL.
Kami ingin benar-benar menunjukkan dampak di bagian ini karena seperti yang saya katakan, orang-orang ini tidak teknis.
Jadi kalau injeksi, mereka mungkin tidak tahu apa itu injeksi ESKIL.
Yang mereka pedulikan adalah dampak dari kerentanan ini.
Sekali lagi, mereka tidak punya banyak waktu, jadi Anda harus langsung ke intinya.
Jadi apa yang kami lakukan adalah kami mengatakan itu adalah suntikan alami yang dapat mengarah ke akses basis
data resmi.
Jadi sekarang mereka tahu dengan kerentanan ini, seorang hacker dapat mengakses database mereka.
Ini mungkin sangat buruk.
Kerentanan lain yang kami temukan adalah sedang dan berlebihan.
SRF lagi, banyak laporan akan berhenti di sini, tidak terlalu menjelaskan apa pun kepada orang-orang non-teknis.
Jadi kami mengatakan klien dapat dipaksa untuk mengirimkan permintaan non-kritis tertentu.
Itu sebabnya ini adalah permintaan media, bukan non-kritis.
Tapi mereka bisa dipaksa untuk mengirimkan barang.
Dan kemudian kami memiliki satu kerentanan di mana versi HP diungkapkan.
Jadi ini tidak terlalu kritis karena ini bukan kerentanan sebenarnya yang dapat dieksploitasi untuk
mendapatkan akses atau mengekspos data pengguna.
Tetapi informasi ini dapat berguna bagi peretas untuk mengaitkan dengan serangan lain atau menemukan kerentanan
untuk versi khusus ini.
Dan itulah mengapa itu rendah.
Makanya tidak perlu diurus terlalu mendesak, seperti yang kritis, seperti yang sudah kami sebutkan di atas
dan di sini.
Dan jangan ragu untuk membaca teks di sini, Anda akan melihat banyak dari itu pada dasarnya hanya untuk membersihkan
punggung kami dan memastikan bahwa mereka memahami semua yang ada dalam laporan.
Dan itu akan menjadi akhir musim panas.
Dan sekarang kita masuk ke detail teknis.
Jadi di bagian ini, kami pada dasarnya memiliki, seperti yang saya katakan, subbagian untuk setiap temuan yang kami
miliki.
Dan kami mendalami detail temuan ini.
Jadi Anda dapat melihat ini adalah injeksi sebenarnya yang kami sebutkan sebelumnya dalam ringkasan.
Tapi kali ini kami benar-benar memberi mereka URL yang rentan.
Kami memberi mereka parameter rentan.
Kami memberi mereka referensi untuk memahami apa itu injeksi Eskil.
Jika mereka tidak memahaminya, kami memberi mereka permintaan yang tepat dan tanggapan yang tepat yang
kami dapatkan, yang membuat kami memutuskan bahwa halaman khusus ini rentan terhadap suntikan.
Kemudian kami memberi mereka dampak di sini secara detail, tidak hanya mengatakan bahwa mereka dapat mengakses database.
Jadi kami mengatakan mereka dapat mengakses database.
Mereka dapat mengambil data yang kami akses ke tabel pengguna.
Jadi Anda akan menyelami detailnya dan Anda bahkan harus menyertakan tangkapan layar di sini.
Jika menurut Anda itu akan berguna di bagian mitigasi.
Kami hanya memberi mereka rekomendasi singkat.
Seperti yang saya katakan, beberapa perusahaan memberikan rekomendasi terperinci.
Ini sangat tergantung pada pertunangan juga.
Jadi dalam contoh ini, kami pada dasarnya hanya mengatakan gunakan pernyataan persiapan dengan kueri berparameter dan kami
memberi mereka referensi untuk mempelajari cara melakukannya atau memahami cara kerjanya.
Dan itu cukup banyak.
Jadi Anda akan mengulanginya untuk setiap kerentanan yang Anda temukan?
Saya membiarkan sisanya kosong karena ini hanya sampel, tetapi Anda mendapatkan idenya.
Jadi, Anda akan memiliki subbagian untuk setiap temuan yang telah Anda jelaskan semuanya secara detail sehingga mereka
memahami kerentanannya dan kemudian mereka dapat melanjutkan dan memperbaikinya.
Pada akhirnya, banyak perusahaan akan memiliki lampiran dan mereka mungkin memiliki bagian rekomendasi yang lebih besar, seperti
yang saya katakan, ini adalah gaya penulisan laporan kami yang masing-masing perusahaan memiliki gaya mereka sendiri, jika Anda mau.
Ini mungkin menghabiskan beberapa waktu melalui contoh laporan yang kami miliki di repositori ini.
Jelas, saya akan menyertakan kedua tautan untuk sampel saya dan untuk sampel lain serta sumber
daya sehingga Anda dapat membacanya sendiri dan mendapatkan gambaran seperti apa laporan Pennhurst.
Tapi seperti yang saya katakan, dalam banyak kasus, Anda hanya akan mengisi sampel yang mirip dengan yang kita miliki di sini.
Jadi Anda tidak akan pernah diminta untuk membuat satu dari awal.