黑帽描述

黑帽描述不是黑帽描述黑客写的小说，也不是黑帽描述给漏洞报告披上文学外衣。它是黑帽描述一份精确到让你看完就知道“这活儿能不能接、该怎么打”的黑帽描述技术文档。我见过太多人把黑帽描述写成抒情散文，黑帽描述或者干脆复制粘贴扫描器输出，黑帽描述结果甲方看完只回一句：所以你到底能干什么？黑帽描述

去年帮一个做电商的朋友看他们收到的渗透测试报告。前面二十页全是黑帽描述“存在SQL注入风险”“建议修复”，翻到最后一页才看到一句“攻击者可利用该漏洞获取数据库全部权限”。黑帽描述朋友问我：这算严重吗？黑帽描述我说你把这份报告倒过来看，最后一页那句话应该放在第一页，黑帽描述字号放大三倍。黑帽描述黑帽描述的黑帽描述核心就一件事——把“能造成什么后果”说清楚，而不是黑帽描述把“我发现了什么”列成清单。

拿一个真实案例说。黑帽描述某次内部演练，目标是一个后台登录接口。常规描述会写：POST /api/login 存在弱口令，密码为 admin123。这叫漏洞描述，不叫黑帽描述。黑帽描述得这么写：攻击者用 admin/admin123 登录后，可直接调用 /api/export 接口下载全量用户手机号和收货地址，无需二次验证。整个过程耗时不到四十秒，不需要任何工具，浏览器就能完成。你看，区别在于——前者告诉你门没锁，后者告诉你门没锁且屋里放着保险柜钥匙。

有人觉得黑帽描述就是吓唬人。不对。吓唬人是把“目录遍历”写成“服务器即将沦陷”。黑帽描述是把“目录遍历”写成“攻击者可读取 /etc/passwd，从中获取三个普通用户名，再用这三个用户名配合 ssh 弱口令尝试，两小时内可拿到一台内网跳板机”。前者是情绪，后者是路径。路径比情绪有用得多。

写黑帽描述最忌讳两件事。一是堆砌CVSS评分却不解释评分怎么来的。9.8分听着吓人，但甲方看不懂向量字符串 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。你得翻译：不需要登录、不需要交互、直接远程打、打完能读写数据还能让服务停摆。二是用“可能”“或许”“理论上”来模糊边界。要么写“已验证可获取数据库root权限”，要么写“未验证，但根据版本号推测存在反序列化入口”。把确定和推测分开，别混在一起。

我自己的习惯是每份黑帽描述控制在三页以内。第一页写攻击链：从哪个入口进，经过哪几个步骤，最终拿到什么。第二页写证据：请求包、响应包、截图、时间戳。第三页写影响面：影响多少用户、涉及哪些数据表、能不能横向移动到其他系统。多一页都是浪费。有次看到一份八十页的黑帽描述，翻到第四十页还在讲“信息收集阶段”，我直接合上了。信息收集是过程，不是结果。甲方不关心你扫了多少端口，只关心哪个端口能要命。

还有一个容易忽略的点：黑帽描述里要写“攻击成本”。比如“需要注册一个账号并等待审核通过”和“无需任何账号直接访问”，严重程度差一个数量级。再比如“需要内网访问权限”和“公网可直接利用”，修复优先级完全不同。把这些条件写清楚，甲方才知道先修哪个。

最后说个反直觉的。黑帽描述写得太“黑”反而不好。用“攻击者”这个词就够了，别写“黑客将席卷你们的数据”。技术文档的威慑力来自精确，不来自形容词。你把 curl 命令和返回结果贴上去，比写一百句“后果不堪设想”都管用。我见过最漂亮的一份黑帽描述，全文没有一句废话，最后一行写着：curl -X POST https://target.com/api/reset -d "user=admin" 返回 { "token":"..."}，用该token可重置任意用户密码。完。