Αναφορά pentest — τι την κάνει επαγγελματική

Η αποστολή δεν τελειώνει όταν λειτουργήσει το τελευταίο exploit. Τελειώνει όταν ένας διευθυντής μπορεί να επαναλάβει το συμπέρασμά σας σε διοικητικό συμβούλιο, όταν ένας προγραμματιστής μπορεί να διορθώσει χωρίς να σας ξανακαλέσει, και όταν ένας ελεγκτής μπορεί να ανατρέξει σε κάθε απόδειξη. Η αναφορά είναι το παραδοτέο. Τα υπόλοιπα είναι πρώτη ύλη.

Μια λίστα ελαττωμάτων δεν είναι αναφορά

Ένα export Nessus, ένα dump sqlmap ή ένας φάκελος στιγμιότυπων δεν παραδίδονται ως έχουν. Χωρίς αποκατάσταση ανά διαπίστωση, χωρίς αναπαραγώγιμη απόδειξη, χωρίς υπερασπίσιμη σειρά, έχετε μια απογραφή. Ο πελάτης πλήρωσε για μια απόφαση.

Τι θα ξέρετε να κάνετε μετά από αυτό το μάθημα

• Να ονομάζετε τα έξι μέρη μιας αναφοράς και τι εμποδίζει το καθένα να παρανοηθεί.
• Να γράφετε για τρία κοινά χωρίς να αναμειγνύετε τις γλώσσες τους.
• Να συμπληρώνετε το πρότυπο μιας διαπίστωσης με τον ίδιο τρόπο από ελάττωμα σε ελάττωμα.
• Να αποφασίζετε μια προτεραιότητα P1 έως P4 με βάση τον επιχειρηματικό αντίκτυπο, όχι μόνο το σκορ CVSS.
• Να εντοπίζετε τις διατυπώσεις που τρομοκρατούν, που ψεύδονται, ή που δεν αναπαράγονται.

---

1. Η αναφορά είναι το προϊόν

Επί δέκα ενότητες, συλλέξατε: ένα δελτίο στόχου, θύρες, tickets CVE, μια έγχυση SQL, ένα κλεμμένο token, μια διαδρομή BloodHound. Κανένα από αυτά τα αντικείμενα δεν είναι αναγνώσιμο από το άτομο που υπογράφει την επιταγή αποκατάστασης.

Η αναφορά κάνει τρεις μετατροπές, πάντα τις ίδιες:

Ακατέργαστη ύλη	Τι κάνει η αναφορά από αυτήν	Τι σταματάει αυτό
Έξοδος εργαλείου	Μια χρονοσημασμένη, αντιγράψιμη απόδειξη	«Δεν καταλάβαμε τι εκτελέσατε.»
Σκορ CVSS	Μια επιχειρηματική προτεραιότητα P1–P4	«Όλα είναι κρίσιμα, άρα τίποτα δεν είναι.»
Exploit που λειτουργεί	Μια δοκιμάσιμη διορθωτική ενέργεια	«Ευχαριστώ, θα το δούμε στο επόμενο sprint.»

Ένας pentester που «δεν του αρέσει να γράφει» παραδίδει μια ημιτελή εργασία. Ο πελάτης δεν αγοράζει το Kali σας. Αγοράζει μια φράση που μπορεί να υπερασπιστεί μπροστά στο διοικητικό του συμβούλιο: να ο κίνδυνος, να η προθεσμία, να το κόστος του να μην κάνουμε τίποτα.

---

2. Τρία κοινά, τρεις αναγνώσεις

Το ίδιο PDF κυκλοφορεί. Δεν διαβάζεται με τον ίδιο τρόπο.

Η διοίκηση διαβάζει δύο σελίδες. Θέλει το συμπέρασμα στην αρχή, τον αριθμό των P1, τους τρεις κινδύνους που απειλούν τον κύκλο εργασιών ή τη συμμόρφωση, και τι πρέπει να αποφασιστεί αυτή την εβδομάδα. Δεν θέλει ούτε UNION SELECT, ούτε CWE, ούτε το όνομα του sqlmap.

Η τεχνική ομάδα ανοίγει τις διαπιστώσεις. Θέλει το ακριβές αίτημα, την παρατηρηθείσα απάντηση, το αρχείο προς αλλαγή, τη δοκιμή που αποδεικνύει ότι έχει κλείσει. Αγνοεί την περίληψη αν οι φόρμες είναι ασαφείς.

Ο έλεγχος (εσωτερικός, τελικός πελάτης, ασφαλιστής, ISO 27001) επαληθεύει ότι παραμείνατε εντός του RoE, ότι η μέθοδος έχει όνομα, ότι κάθε απόδειξη είναι χρονοσημασμένη, ότι οι αναφορές υπάρχουν. Διαβάζει τα παραρτήματα που κανείς άλλος δεν ανοίγει.

Γράψτε την περίληψη τελευταία

Η περίληψη για τη διοίκηση συντάσσεται μετά τις ταξινομημένες διαπιστώσεις. Αλλιώς αφηγείστε την ιστορία με τη σειρά ανακάλυψης — ενδιαφέρον για εσάς, αδιάβαστο για έναν διευθυντή. Το συμπέρασμα πρώτα, η αφήγηση μετά.

Ο κανόνας σύνταξης: μια πληροφορία εμφανίζεται μόνο στο επίπεδο που μπορεί να τη χρησιμοποιήσει. Το hash MD5 του admin@juice-sh.op πηγαίνει στη διαπίστωση και στο παράρτημα. Στην περίληψη, γράφουμε: ο λογαριασμός διαχείρισης του καταστήματος είναι ανακτήσιμος από το Internet, χωρίς αυθεντικοποίηση.

---

3. Η δομή αναφοράς — έξι μέρη, όχι επτά

Διατηρείτε ακριβώς αυτή τη σειρά. Η αναγνωσιμότητα προκύπτει από την επανάληψη, από αποστολή σε αποστολή, από πάροχο σε πάροχο.

3.1. Περίληψη για τη διοίκηση — μία έως δύο σελίδες

Στέκεται όρθια μόνη της. Ένας αναγνώστης που σταματά στη σελίδα 2 πρέπει να μπορεί να αποφασίσει.

Υποχρεωτικό περιεχόμενο:

1. Πλαίσιο σε τρεις γραμμές — ποιος παρήγγειλε, ποιος στόχος, ποιες ημερομηνίες.
2. Συμπέρασμα στην αρχή — ανεπαρκής, αποδεκτή με επιφυλάξεις, ή ελεγχόμενη στάση ασφαλείας. Ένα μόνο επίθετο, δικαιολογημένο από τα P1.
3. Καταμέτρηση — πόσα P1, P2, P3, P4.
4. Τρεις επιχειρηματικοί κίνδυνοι — φράσεις χωρίς ορολογία, καθεμία συνδεδεμένη με μια αριθμημένη διαπίστωση.
5. Αποφάσεις της εβδομάδας — εναλλαγή μυστικών, κλείσιμο ενός endpoint, απόσυρση ενός ξεχασμένου admin.

Αυτό που δεν εμφανίζεται ποτέ: μια λίστα εργαλείων, ένας πίνακας CVSS, ένα στιγμιότυπο οθόνης, μια απειλή («ένας Ρώσος επιτιθέμενος θα μπορούσε…»). Τεκμηριώνετε αυτό που εσείς κάνατε, όχι ένα σενάριο ταινίας.

3.2. Πεδίο εφαρμογής και μεθοδολογία

Είναι το συμβόλαιο ξαναδιαβασμένο εκ των υστέρων. Προστατεύει τον πελάτη (δεν αγγίξατε αυτό) και εσάς (δεν σας κατηγορούν ότι ξεχάσατε εκείνο).

Ενότητα	Τι βάζουμε εκεί
Πεδίο εφαρμογής εντός	Τομείς, IP, εφαρμογές, παρεχόμενοι λογαριασμοί.
Πεδίο εφαρμογής εκτός	SaaS τρίτων, θυγατρικές, DoS, phishing αν δεν έχει εξουσιοδοτηθεί.
RoE	Παράθυρα, περιορισμένη εξαγωγή, απαγόρευση τροποποίησης δεδομένων.
Μέθοδος	OWASP Testing Guide, PTES, ή ο εσωτερικός οδηγός του πελάτη — ένα όνομα.
Εργαλεία	Σύντομη λίστα, με τον ρόλο του καθενός. Όχι ένα βιογραφικό Kali.
Όρια	Τι δεν είχατε χρόνο ή δικαίωμα να δοκιμάσετε.

Ένα γραπτό όριο αξίζει περισσότερο από ένα «ξεχασμένο» ελάττωμα που ο πελάτης θα ανακαλύψει έξι μήνες αργότερα. «Τα αυθεντικοποιημένα API δεν δοκιμάστηκαν: δεν παρασχέθηκε κανένας λογαριασμός» είναι μια επαγγελματική φράση.

3.3. Επισκόπηση

Δύο αντικείμενα, όχι ένα μυθιστόρημα.

Χάρτης θερμότητας — διαπιστώσεις διασταυρωμένες κατά θέμα και προτεραιότητα. Το βλέμμα πέφτει στα σκούρα κελιά.

Θέμα	P1	P2	P3	P4
Εφαρμοστικό	2	1	1	0
Ταυτότητα	0	1	1	0
Δίκτυο	0	0	1	1
Cloud	0	0	0	1

Δείκτης στάσης ασφαλείας — μία φράση, όχι ένα διαφημιστικό σκορ. «Ανεπαρκής στάση: δύο P1 είναι εκμεταλλεύσιμα από το Internet χωρίς λογαριασμό.»

Μια παράγραφος επίθεσης συνδέει τις διαπιστώσεις: από τη δημόσια αναζήτηση στη συνεδρία διαχειριστή, μετά στις εντολές. Εδώ η διαδρομή που είδαμε στην ενότητα 10 (πλευρικές κινήσεις) ή στην ενότητα 7 (OWASP) γίνεται μια επιχειρηματική ιστορία. Όχι στην περίληψη.

3.4. Λεπτομερείς διαπιστώσεις

Μία διαπίστωση ανά ευπάθεια και ανά επιφάνεια. Δύο εγχύσεις SQL σε δύο endpoints = δύο φόρμες. Η ίδια έγχυση που φαίνεται από το sqlmap και από το Burp = μία φόρμα, δύο αποδείξεις.

Το πρότυπο βρίσκεται στην ενότητα 4. Δεν το εφευρίσκετε. Το συμπληρώνετε.

3.5. Ιεραρχημένες συστάσεις

Οι διαπιστώσεις λένε τι να διορθωθεί εδώ. Αυτό το κεφάλαιο λέει με ποια σειρά εξυγιαίνεται το σύστημα.

Ομαδοποιούμε κατά θέμα, όχι κατά αριθμό φόρμας:

• ταυτότητα (κωδικοί, MFA, λογαριασμοί υπηρεσίας)·
• εφαρμοστικό (εγχύσεις, έλεγχος πρόσβασης, συνεδρία)·
• δίκτυο (έκθεση, τμηματοποίηση)·
• cloud (ρόλοι, μυστικά, αποθήκευση).

Μια δομική διόρθωση — όλα τα ερωτήματα SQL περνούν από παραμετροποιημένα ερωτήματα — αξίζει περισσότερο από έξι επιδιορθώσεις αντιγραμμένες-επικολλημένες. Το σχέδιο σε 3, 6 και 12 μήνες συντάσσεται εδώ· το εργαστήριο το μορφοποιεί.

3.6. Παραρτήματα

Αρχεία καταγραφής, πλήρη αιτήματα, χρονοσημασμένα στιγμιότυπα, exports εργαλείων. Το σώμα της αναφοράς παραπέμπει στο παράρτημα. Δεν το αντιγράφει.

Σύμβαση ονοματοδοσίας, από το πρώτο αρχείο:

C01-2026-04-18-recherche-union-select.png
C01-2026-04-18-req-search.txt
ANNEXE-A-nmap-10.10.10.0-24.txt

Ένα στιγμιότυπο χωρίς ημερομηνία και χωρίς αναγνωριστικό διαπίστωσης δεν αποδεικνύει τίποτα την ημέρα που ο πελάτης θα πει «αυτό δεν υπήρχε πια».

---

4. Το πρότυπο μιας διαπίστωσης — επτά πεδία, πάντα

Κάθε διαπίστωση ακολουθεί ακριβώς την ίδια δομή. Ένας τεχνικός αναγνώστης πρέπει να μπορεί να πηδήξει από τη φόρμα 2 στη φόρμα 6 χωρίς να ψάχνει πού είναι η απόδειξη.

## C-01 — Έγχυση SQL στο /api/recherche

- Σοβαρότητα : P1 — επιχειρηματική αιτιολόγηση σε μία φράση
- Πλαίσιο : τι κάνει ο στόχος, σε μία φράση
- Απόδειξη : αίτημα, απάντηση, χρονοσημασμένο στιγμιότυπο
- Επιχειρηματικός αντίκτυπος : τι αποκτά συγκεκριμένα ένας επιτιθέμενος
- Αποκατάσταση : ακριβής ενέργεια, δοκιμή κλεισίματος, προσπάθεια
- Αναφορές : CWE, OWASP, έγγραφο πελάτη

4.1. Σύντομος τίτλος — ενέργεια + επιφάνεια

Ο τίτλος διαβάζεται σε έναν πίνακα περιεχομένων και σε ένα ticket Jira. Ξεκινά με το ρήμα του ελαττώματος, όχι με το εργαλείο.

Αδιάβαστο	Ευανάγνωστο
SQLi sqlmap critique !!!	Έγχυση SQL στο /api/recherche
Πρόβλημα auth	Απουσία ελέγχου πρόσβασης στο GET /api/commandes/{id}
CVE-2017-0144	Απομακρυσμένη εκτέλεση κώδικα μέσω SMBv1 στο SRV-FICHIERS

Χωρίς θαυμαστικό. Χωρίς «κρίσιμο» στον τίτλο: η προτεραιότητα είναι ξεχωριστό πεδίο.

4.2. Σοβαρότητα — P1 έως P4, όχι μόνο ο αριθμός

Το μάθημα χρησιμοποιεί τέσσερις προτεραιότητες παράδοσης. Το CVSS ενημερώνει, δεν αποφασίζει.

Προτεραιότητα	Ενδεικτική προθεσμία	Κριτήριο που μετράει
P1	24 ώρες έως 7 ημέρες	Αποδεδειγμένη παραβίαση, ή ευαίσθητα δεδομένα εκτεθειμένα χωρίς αυθεντικοποίηση.
P2	30 έως 90 ημέρες	Ρεαλιστική εκμετάλλευση, καθαρός αντίκτυπος, βαρύτερες προϋποθέσεις (λογαριασμός, εσωτερικό δίκτυο).
P3	3 έως 6 μήνες	Σκλήρυνση, τεχνικό χρέος, ημιτελής αλυσίδα επίθεσης.
P4	Backlog	Ενημερωτικό, εκτεθειμένη έκδοση χωρίς exploit, καλή πρακτική.

Το CVSS 3.1 υπολογίζεται παρόλα αυτά. Το γράφουμε στη φόρμα, με το vector. Προσθέτουμε γιατί αποκλίνουμε αν η επιχειρηματική προτεραιότητα διαφέρει.

Παράδειγμα που είδαμε ήδη στην ενότητα 7: μια μη αυθεντικοποιημένη έγχυση SQL που αποδίδει το hash του διαχειριστή αξίζει συχνά 7,5 (υψηλή εμπιστευτικότητα, μηδενική ακεραιότητα αν μόνο διαβάσατε). Είναι High, όχι Critical. Παρόλα αυτά είναι P1: ο λογαριασμός που διοικεί το κατάστημα έπεσε, από το Internet, σε ένα αίτημα.

Το αντίστροφο υπάρχει επίσης. Ένα CVSS 9,8 σε απομονωμένη υπηρεσία, χωρίς δεδομένα, φιλτραρισμένη από ένα άλμα που δεν διαβήκατε, μπορεί να πέσει σε P2 αν το RoE σας σταμάτησε πριν τον αντίκτυπο. Το γράφετε. Δεν το φουσκώνετε.

4.3. Πλαίσιο — μία φράση για τη λειτουργία

«Το /api/recherche τροφοδοτεί τον δημόσιο κατάλογο του καταστήματος, χωρίς συνεδρία.»

Αυτή η φράση αποτρέπει τον εξής διάλογο: ο προγραμματιστής πιστεύει ότι δοκιμάσατε το εσωτερικό admin, ο CIO πιστεύει ότι είναι ο δημόσιος ιστότοπος. Το πλαίσιο αγκυρώνει την επιφάνεια στην επιχείρηση.

4.4. Απόδειξη — αναπαραγώγιμη, όχι διακοσμητική

Ένα στιγμιότυπο οθόνης απεικονίζει. Δεν αρκεί. Η ελάχιστη απόδειξη είναι το αίτημα που, αντιγραμμένο, αναπαράγει το αποτέλεσμα.

Τρεις αποδεκτές μορφές, με αυτή τη σειρά προτίμησης:

1. ένα αντιγράψιμο curl·
2. ένα ακατέργαστο αίτημα HTTP (Burp)·
3. ένα βήμα προς βήμα με πληκτρολόγιο αν η επίθεση είναι αποκλειστικά γραφική.

Η παρατηρηθείσα απάντηση εμφανίζεται δίπλα: κωδικός HTTP, χρήσιμο απόσπασμα, όχι τα 200 KB JSON. Αν το RoE περιορίζει την εξαγωγή — --stop=3 στην ενότητα 7 — το υπενθυμίζετε στην απόδειξη. Αυτό δείχνει ότι επιλέξατε να μην αδειάσετε τη βάση.

4.5. Επιχειρηματικός αντίκτυπος — τι αλλάζει για την επιχείρηση

Ο αντίκτυπος δεν είναι «απώλεια εμπιστευτικότητας». Είναι μια φράση που ένας νομικός ή ένας CIO μπορεί να παραθέσει.

Τεχνική	Αντίκτυπος που υπερασπίζεται
Dump του Users	Ανάγνωση των emails πελατών και του μυστικού διαχείρισης· υφαρπαγή του back-office.
Αποθηκευμένο XSS σε μια κριτική	Κλοπή συνεδρίας ενός διαχειριστή που μετριάζει τις κριτικές.
DMARC σε p=none	Ένας τρίτος στέλνει μηνύματα που φαίνεται να προέρχονται από τον τομέα.
Ανοιχτό SMB share	Ανάγνωση φακέλων HR από τον σταθμό ενός ασκούμενου.

Μένετε σε αυτό που αποκτήσατε, όχι σε αυτό που ένας επιτιθέμενος «θα μπορούσε στη συνέχεια». Η επόμενη αλυσίδα πηγαίνει στην επισκόπηση, όχι σε κάθε φόρμα.

Νόμος 25, RGPD, PCI-DSS: τα ονομάζουμε μόνο αν τα δεδομένα που θίγονται υπόκεινται σε αυτούς. Ένα hash διαχειριστή δοκιμαστικού καταστήματος δεν είναι «παραβίαση PCI». Πραγματικά emails πελατών, ναι, και η αναφορά το λέει.

4.6. Αποκατάσταση — μία ενέργεια, μία δοκιμή, μία προσπάθεια

Χωρίς σύσταση, η φόρμα είναι μια καταγγελία. Η αποκατάσταση έχει τρεις ιδιότητες:

• Ακριβής — παραμετροποιημένα ερωτήματα στην παράμετρο q, όχι «ασφαλίστε την εφαρμογή».
• Δοκιμάσιμη — το curl της διαπίστωσης πρέπει να επιστρέφει άδεια λίστα ή 400, καμία γραμμή Users.
• Οριοθετημένη — προσπάθεια σε ανθρωπο-ημέρες, δεξιότητα (dev, ops, IdO), εξάρτηση (παράθυρο production).

Ένα WAF που μπλοκάρει το UNION SELECT είναι μια αντιστάθμιση. Δεν είναι η διόρθωση. Μπορείτε να το συστήσετε εν αναμονή του διορθωτικού, δεν το πουλάτε ως το κλείσιμο του P1.

4.7. Αναφορές

Τύπος	Παράδειγμα	Σε τι χρησιμεύει
CWE	CWE-89	Ο προγραμματιστής βρίσκει το μοτίβο διόρθωσης.
OWASP	A03:2021 Injection	Ο CISO ευθυγραμμίζει τη διαπίστωση με το πρόγραμμά του.
CVE	μόνο αν υπάρχει	Το patch του κατασκευαστή έχει αναγνωριστικό.
Έγγραφο πελάτη	«Πολιτική κωδικών v3»	Δείχνετε την απόκλιση από τον δικό τους κανόνα.

Μια σπιτική έγχυση συχνά δεν έχει CVE. Η εφεύρεση CVE-2024-XXXX είναι λάθος. Τα CWE + OWASP αρκούν.

---

5. Ιεράρχηση: το CVSS ενημερώνει, η επιχείρηση αποφασίζει

Η ενότητα 5 το είπε ήδη: το βασικό σκορ αγνοεί τον πελάτη σας. Η αναφορά είναι το σημείο όπου αυτή η φράση γίνεται απόφαση.

Αυτό που υπολογίζετε

• vector CVSS 3.1 (AV, AC, PR, UI, S, C, I, A)·
• βασικό σκορ·
• ενδεχομένως το περιβαλλοντικό σκορ αν ο πελάτης είπε ότι η εμπιστευτικότητα αυτής της εφαρμογής αξίζει περισσότερο από τη διαθεσιμότητά της.

Αυτό που αποφασίζετε

• παρουσία στο Internet ή μόνο εσωτερικά·
• απαιτούμενη αυθεντικοποίηση ή όχι·
• φύση των δεδομένων (λογαριασμός admin, PII, μυστικά cloud)·
• ευκολία: μία γραμμή curl ή αλυσίδα τριών προϋποθέσεων·
• ύπαρξη δημόσιου exploit (EPSS, κατάλογος KEV) — χρήσιμο για ένα CVE, άχρηστο για ένα χειροποίητο SQLi.

Τέσσερις κλασικές αποκλίσεις, προς γραπτή τεκμηρίωση στη φόρμα:

Κατάσταση	Τυπικό CVSS	Παραδοθείσα προτεραιότητα	Γιατί
Δημόσιο SQLi, dump λογαριασμών	7,5	P1	Admin + emails, χωρίς λογαριασμό.
Θεωρητικό RCE, απομονωμένη υπηρεσία	9,8	P2	Καμία αποδεδειγμένη πρόσβαση στα δεδομένα.
Reflected XSS σε εσωτερικό εργαλείο	6,1	P3	Προϋποθέσεις: λογαριασμός και θύμα που κάνει κλικ.
Banner Server: nginx/1.18.0	5,3	P4	Κανένα exploit που δείχθηκε.

Μην τρομοκρατείτε για να πουλήσετε

«Μια εγκληματική ομάδα θα αδειάσει το ταμείο σας απόψε» δεν είναι αντίκτυπος. Είναι διαφήμιση. Γράφετε αυτό που δείχνει η απόδειξη. Ο πελάτης αποφασίζει τον προϋπολογισμό. Αν φουσκώνετε, η επόμενη αναφορά — η δική σας ή ενός συναδέλφου — δεν θα πιστεύεται πλέον.

---

6. Τι διαχωρίζει μια ερασιτεχνική αναφορά από μια που πληρώνεται

Τέσσερα κριτήρια, που προέρχονται από τον δείκτη της εβδομάδας. Χρησιμεύουν ως νοητικό πλέγμα πριν στείλετε το PDF.

Μία αποκατάσταση ανά διαπίστωση. Κάθε φόρμα κλείνει με μια ενέργεια και μια δοκιμή. Οι εγκάρσιες ενέργειες ζουν στο κεφάλαιο συστάσεων, επιπλέον, όχι αντ' αυτού.

Αναπαραγώγιμες αποδείξεις. Ένα τρίτο μέρος — ένας προγραμματιστής, ένας ελεγκτής, εσείς σε έξι μήνες — αναπαράγει το curl και βλέπει την ίδια κατηγορία αποτελέσματος. Τα πραγματικά μυστικά καλύπτονται (adm***@…, hash κομμένο στο σώμα, πλήρες στο παράρτημα υπό NDA).

Υπερασπίσιμη ιεράρχηση. Ο CIO μπορεί να παρουσιάσει το P1 στη διοίκηση χωρίς να είστε στο δωμάτιο. Αν δεν ξέρετε να δικαιολογήσετε την απόκλιση από το CVSS σε μία φράση, η προτεραιότητα είναι κακή.

Καμία υπονοούμενη απειλή. Τεκμηριώνουμε. Δεν πουλάμε αγωνία. Δεν συγκρίνουμε τον πελάτη με «αυτό που βλέπουμε συνήθως στους φθηνότερους»: δεν είστε ο ανταγωνιστής του.

Προστίθενται τρεις επαγγελματικές συνήθειες:

• Σταθερή αρίθμηση — το C-01 δεν αλλάζει πλέον μόλις παγιωθεί το προσχέδιο. Τα tickets του πελάτη παραπέμπουν εκεί.
• Μία φωνή — όχι «βρήκαμε» σε μια φόρμα και «η επιθετική ομάδα εκτιμά» στην επόμενη.
• Γεγονότα σε ενεστώτα διαπίστωσης, συμβουλές σε προστακτική — το αίτημα επιστρέφει τρεις λογαριασμούς· παραμετροποιήστε το ερώτημα.

---

7. Οι συγχύσεις που κοστίζουν μια εβδομάδα επανεγγραφής

• Αφήγηση της αποστολής με χρονολογική σειρά. Ο πελάτης δεν χρειάζεται να ξαναζήσει την Τρίτη βραδιά σας. Πρέπει να δει πρώτα το χειρότερο.
• Συγχώνευση δύο επιφανειών σε μία φόρμα. Ανεπανόρθωτο: το ticket θα πάει στο λάθος αποθετήριο Git.
• Επικόλληση ενός export εργαλείου ως διαπίστωση. Το sqlmap κάνει λάθη. Η ενότητα 7 το υπενθύμισε. Η φόρμα αναφέρει το εργαλείο ως δευτερεύουσα απόδειξη, το curl ως πρωτεύουσα απόδειξη.
• Βάλτε ορολογία στην περίληψη. Χάνετε τη διοίκηση στη δεύτερη φράση· δεν θα διαβάσει το υπόλοιπο.
• Ξεχάστε το RoE στο PDF. Χωρίς υπενθύμιση των παραθύρων και των απαγορεύσεων, ένας εξωτερικός αναγνώστης πιστεύει ότι δοκιμάσατε τα πάντα.
• Προάγετε μια έκδοση λογισμικού σε επίπεδο P2. Μια έκδοση, χωρίς αποδεδειγμένο exploit, είναι P4 ή μια γραμμή της επισκόπησης.
• Γράψτε «κρίσιμο» έντεκα φορές. Η λέξη αδειάζει από νόημα. Τα P1, P2, P3, P4 αρκούν.
• Παραδώστε προσωπικά δεδομένα σε καθαρό κείμενο στο PDF που στέλνεται με email. Η αναφορά δεν πρέπει να γίνει το ίδιο το περιστατικό. Καλύψτε, κρυπτογραφήστε το αποθετήριο, τηρήστε τη ρήτρα εξαγωγής.

---

Τι πρέπει να θυμάστε

Μια επαγγελματική αναφορά έχει έξι μέρη πάντα με την ίδια σειρά, και διαπιστώσεις πάντα στο ίδιο πρότυπο. Μιλά στη διοίκηση, στους τεχνικούς και στον έλεγχο χωρίς να αναμειγνύει τις φράσεις τους. Η προτεραιότητα υπερασπίζεται μέσω του επιχειρηματικού αντικτύπου· το CVSS παραμένει ένα vector στη φόρμα, όχι μια ετυμηγορία. Κάθε διαπίστωση φέρει μια αναπαραγώγιμη απόδειξη και μία δοκιμάσιμη αποκατάσταση. Χωρίς αυτό, έχετε μια λίστα. Το επόμενο μάθημα παίρνει τις ακατέργαστες σημειώσεις μιας έγχυσης SQL από την ενότητα 7 και τις μετατρέπει, πεδίο προς πεδίο, σε παραδοτέα φόρμα.