渗透测试报告PDF长啥样
很多人第一次做渗透测试，最头疼的不是发现漏洞，而是怎么把结果写成一份像样的报告。尤其是当甲方客户张口就要“出个PDF”，你总不能甩个截图加文字说明的Word文档过去吧？一份标准的渗透测试报告PDF，不光是技术输出，更是专业性的体现。
常见的报告结构包括：封面、目录、概述、测试范围、方法论、漏洞详情、风险评级、修复建议、附录。这些内容排好版导出为PDF，才能让人觉得靠谱。
用什么工具生成PDF
别再手动复制粘贴到Word里了。推荐用LaTeX或者Pandoc这类工具，配合Markdown写内容，一键生成格式统一的PDF。如果你习惯用Python，也可以用reportlab库动态生成：
from reportlab.pdfgen import canvas<br> <br>def create_report(filename):<br> c = canvas.Canvas(filename)<br> c.drawString(100, 800, "渗透测试报告")<br> c.drawString(100, 750, "发现高危漏洞：SQL注入")<br> c.save()<br> <br>create_report("pentest_report.pdf")这种做法适合自动化流程，比如CI/CD中集成扫描任务后自动生成报告。
模板比想象中重要
公司内部可以沉淀一套标准模板。比如用Typora写好Markdown，设置好CSS样式，导出为PDF。标题层级、字体大小、颜色搭配都统一，看起来就比临时拼凑的专业得多。
有些团队直接用Metasploit Pro或Burp Suite Professional，这些工具自带报告生成功能，选中目标和漏洞，点几下就能导出PDF。但要注意默认模板信息太多，得删掉不必要的扫描日志，保留关键证据截图和复现步骤。
报告里最容易被忽略的细节
很多人只写“存在XSS漏洞”，却不说明触发路径。正确的写法是：在哪个页面、提交了什么数据、返回结果如何、危害是什么。比如：
【漏洞位置】用户评论提交框
【复现步骤】输入<script>alert(1)</script>，提交后脚本执行
【风险等级】高危
【修复建议】对用户输入进行HTML实体编码
配上Burp抓包截图和响应内容，放进PDF对应章节，客户一看就明白问题在哪。
别让格式毁了内容
见过太多技术扎实的报告，因为字体错乱、图片模糊、页码不对直接拉低印象分。导出前务必检查：中文字体是否正常显示，表格有没有断行，超链接能不能点开。Linux服务器上生成PDF时容易缺字体，记得提前安装wqy-zenhei之类的支持包。
如果团队多人协作，建议用Git管理报告源文件，每次更新留记录。最后统一用Docker环境导出PDF，避免“我本地明明没问题”的尴尬。