用途
pentest-report 是一个用于指导撰写专业渗透测试报告的方法论技能（writing methodology），不依赖外部工具。它面向已完成渗透测试后的报告撰写环节，帮助用户产出客户、内部安全团队或合规审查方所需的交付物，并统一发现项的格式（CVSS、CWE、OWASP 映射），同时从原始技术发现项中提炼面向执行层的摘要。适用时机包括：记录已完成的渗透测试项目结果、为标准发现格式做跨项目统一、创建执行层摘要。
报告结构
技能定义了如下报告结构：1. 封面页；2. 目录；3. 执行摘要；4. 范围与方法论；5. 风险评级系统；6. 发现项详情；7. 攻击叙事；8. 正面观察；9. 战略建议；10. 附录。
工作流程
技能给出了七步工作流：
- 步骤 1：收集并组织评估数据。 在撰写前先结构化原始数据，例如建立 assessment-data 目录，包含 scope.txt（IP 范围、域名、排除项、RoE）、findings 目录（每个发现项一个文件，如 FIND-001-sqli.md、FIND-002-xxe.md）、evidence 目录（screenshots、logs）、tools-output 目录（nmap-scan.txt、nuclei-results.json 等）。撰写前需进行发现项分类检查：每个发现项都有标题、受影响系统和至少一项证据；为每个发现项计算 CVSS v3.1 评分；分配 CWE 和 OWASP 类别；复现步骤经过验证且准确；修复指导具体而非泛泛的“修复你的代码”。
- 步骤 2：撰写执行摘要。 执行摘要面向 C 级管理层和非技术决策者，应在所有发现项记录完成后最后撰写，但在报告中置于最前。撰写规则：不含 CVE ID、IP 地址或漏洞利用名称；聚焦业务结果而非技术机制；最多 1-2 页；每一句话都应能被没有安全背景的人理解。完整执行摘要模板（含风险仪表盘表格和顶级发现项摘要格式）见 REFERENCE.md。
- 步骤 3：记录范围与方法论。 覆盖：范围内与范围外组件、测试类型（黑/灰/白盒）、方法论框架（PTES / OWASP Testing Guide / NIST SP 800-115）、按阶段划分的测试时间线、使用的工具、局限性和 RoE 引用。完整模板及范围组件、测试时间线的表格格式见 REFERENCE.md。
- 步骤 4：记录每个发现项。 每个发现项使用一致模板并完整填写所有字段：Finding ID、Severity、CVSS v3.1 Base Score 与 Vector、CWE、OWASP Category、Affected System(s)、Status、Description、Business Impact、Evidence、Steps to Reproduce、Remediation（适用时含代码示例）、Compensating Controls、References。完整模板、CVSS v3.1 严重性阈值表和 SQL 注入示例见 REFERENCE.md。
- 步骤 5：撰写攻击叙事。 以故事形式展示利用过程的逻辑流，体现单独看可能为低危的漏洞经串联后的完整影响。按顺序阶段组织：初始访问 → 权限提升 → 横向移动 → 达成目标 → 影响评估。完整模板与示例阶段描述见 REFERENCE.md。
- 步骤 6：创建战略建议。 按修复时间框架（而非发现项严重性）组织建议，给出三个时间范围的行动路线图：短期（0–30 天）针对 Critical/High 发现项，中期（30–90 天）针对系统性改进，长期（90–365 天）针对结构性安全态势。各时间段的示例条目见 REFERENCE.md。
- 步骤 7：运行质量检查清单。 提交前验证全部 10 项质量检查项，关键检查包括：执行摘要可被非技术读者理解；所有发现项都有完整复现步骤和证据；CVSS 评分准确；修复建议针对具体环境；未泄露客户敏感数据；攻击叙事连贯；建议按时间框架排定优先级；包含正面观察。完整 10 项清单与附录结构（漏洞列表、工具输出、网络图、术语表、合规映射）见 REFERENCE.md。
CVSS 严重性映射
技能提供如下严重性映射：Critical 为 9.0–10.0；High 为 7.0–8.9；Medium 为 4.0–6.9；Low 为 0.1–3.9；Info 为 N/A。
前置条件
已完成的评估数据（发现项列表、证据如截图/日志/PoC、范围文档、Rules of Engagement）、CVSS v3.1 计算器（https://www.first.org/cvss/calculator/3.1）、CWE 参考（https://cwe.mitre.org/）、OWASP Top 10 / Testing Guide（https://owasp.org/www-project-top-ten/）、可导出 PDF 的文字处理或 Markdown 编辑器。
输入字段
技能定义了如下输入字段：CLIENT_NAME（被评估组织，例：Acme Corp）、ASSESSMENT_TYPE（Black-box / Grey-box / White-box，例：Grey-box）、SCOPE（范围内的系统、IP 范围、域名，例：10.0.0.0/24, app.example.com）、TEST_DATES（测试开始与结束日期，例：2026-03-01 – 2026-03-14）、FINDINGS（评估期间收集的原始发现项数据，例：Finding notes, screenshots, logs）。
完成标准
满足以下条件即视为完成：执行摘要不含技术术语并经非安全同事审阅；所有发现项均记录 CVSS 评分、CWE、证据、复现步骤和具体修复建议；攻击叙事将各发现项连接成逻辑链；建议按短期/中期/长期路线图组织；全部 10 项质量检查通过；报告导出为 PDF、标注 Confidential 并通过加密渠道传输。
注意事项
报告中绝不能包含测试期间提取的真实凭据、私钥或完整 PII 数据集——只引用发现项并描述数据类型。根据受众调整语言：执行摘要面向 C 级管理层，发现项部分面向安全工程师，建议部分面向两者。正面观察很重要——客户需要知道哪些方面运作良好。对报告文档进行版本控制：v0.1 为草稿，v1.0 为最终交付，v1.1+ 为评审后修订。在项目开始前与客户就报告格式和密级处理达成一致。
限制
本技能为报告撰写方法论，不提供自动评分或扫描功能；具体的 CVSS 计算、CWE/OWASP 分类需借助上述外部参考链接完成。关于价格、平台支持范围等商业信息，资料暂未提供。