计算机科学与技术网络安全公司安全实习报告

计算机科学与技术网络安全公司安全实习报告一、摘要

2023年7月10日至2023年9月5日，我在一家网络安全公司担任安全实习生，负责协助完成网络渗透测试和漏洞分析工作。在为期8周的实习中，我参与并完成了15个企业级系统的安全评估，累计发现并报告高危漏洞28个，中危漏洞47个，低危漏洞63个。通过应用KaliLinux和Metasploit框架进行攻击模拟，我熟练掌握了漏洞扫描、利用开发及修复验证的全流程操作。工作中，我将《网络安全法》中关于漏洞管理的条款与实际操作相结合，提炼出“分阶段扫描优先级排序闭环验证”的漏洞处理方法论，该流程使漏洞修复效率提升了32%。实习期间，我独立撰写的5份漏洞分析报告被团队采纳并纳入知识库，为后续项目提供了可复用的技术参考。

二、实习内容及过程

1.实习目的

希望通过实践了解网络安全行业的实际工作场景，将学校学的网络协议、操作系统、密码学知识用到具体的安全测试中，熟悉漏洞评估的完整流程，提升动手能力。

2.实习单位简介

公司主要做企业级网络安全服务，客户以金融和互联网行业为主，技术团队分成渗透测试、应急响应、安全运维几个方向，我所在的渗透测试组主要帮客户做季度性漏洞扫描和渗透验证。

3.实习内容与过程

第一周主要是熟悉环境，导师给我发了3个过期的客户系统账号，让我用Nmap扫端口，然后用Nessus跑一遍漏洞库，最后写个简单的报告。我花了4天时间把流程摸熟，期间发现Nessus对某个老旧JavaWeb应用的检测不准，漏报了两个XXSS（跨站脚本），后来改用AppScan重新分析才确认。

第二到六周参与一个中型电商客户的渗透项目，客户要求重点测试支付系统和会员中心。我负责会员中心的逻辑漏洞挖掘，用了SQLMap测试了数据库连接，发现一个未授权查询，能导出所有用户的积分信息。这个漏洞挺棘手的，因为参数有防注入机制，我查了师傅们的旧文档，学用了Burp的repeater功能手动构造请求，最后用盲注配合时间盲条件搞定了。期间还参与了支付系统的权限绕过测试，发现一个iframe嵌入导致的权限提升，提上去被标记为高危，后来客户那边开发确认是设计缺陷，花了2周时间帮他们写了修复方案。

第七周独立完成一个本地政府的系统测试，8周写实习总结。这次独立负责，压力挺大，但把之前学的都串起来了，比如怎么根据资产信息判断系统重要性，怎么用不同的工具组合提高效率。比如扫描同一个WindowsServer，先扫端口确定开放服务，再用Wireshark抓包分析通信协议，最后用Impacket尝试弱口令，比一股脑全用工具省了不少时间。

4.实习成果与收获

8周总共完成5个项目，报告里写了75个漏洞，其中高危12个，中危23个，低危40个。印象最深的是那个电商支付系统的iframe漏洞，客户那边后来反馈说其他项目也有类似风险，我写的报告被他们纳入了常规检查清单。技能上，以前只会用现成脚本，现在能看懂部分POC原理，甚至帮导师调试过一个自定义的XXE利用模块，还学会了用Metasploit的post模块写简单的提权脚本。最大的收获是认识到安全工作不是单打独斗，需要跟客户开发运维多沟通，有些所谓的“漏洞”其实是业务需求，得协调解决。

5.问题与建议

遇到的第一个困难是工具不熟，刚开始用Metasploit写脚本时总崩，导师给我发了个自制的备忘录，里面列了常见模块的参数和用法，但我后来发现很多细节都没写全，比如某个filter条件用反会导致报错。第二个是客户催得紧，但系统文档不全，有一次为了找个API接口，硬是花了3小时在客服群里问管理员，最后才找到一个技术支持给的临时文档。

公司培训机制其实可以改进，新人入职就扔个项目，连基础工具的快捷键都没教，师傅们也忙，很多知识都是靠自己乱摸索。建议可以搞个在线文档，把常用的命令、踩过的坑都整理出来，比如我后来自己做了个Excel表，记录了每次扫描的参数和误报率，后来被导师看到了，说下次新人可以直接用。岗位匹配度上，我发现自己对应急响应不太感冒，更喜欢前期挖掘漏洞，可能跟性格有关，平时就爱钻研，不太会跟人急。不过也发现，应急响应那边需要快速判断，有时候乱七八糟的信息得秒懂，这点我得学。职业规划上，这次实习让我更想往漏洞挖掘方向发展，但明白光会技术不行，得懂业务，所以下学期打算补补金融和电商的常识。

三、总结与体会

1.实习价值闭环

这8周像把书上的知识搬到了现实里，以前觉得TCP/IP协议栈、HTTP方法这些抽象，现在懂了为什么端口80是Web流量，为什么XSS能篡改页面。最具体的是那个电商项目，用SQLMap找到积分查询漏洞时，课本上讲SQL注入原理的段落突然就亮了，原来那些理论真会出问题。实习把“学知识用知识解决实际问题总结提升”这套路走了一遍，感觉大学这几年没白费，知识不再是考卷上的点，而是能拿得出手的工具。

最初7月10日刚进公司时，对着客户环境手足无措，导师让我先扫端口，结果Nmap输出一堆乱码我都看不懂，花了两天才搞明白是缺少插件。现在想想，这就是从学生到职场人的第一课：不会就是不会，得承认然后快速学。8周后9月5日离开时，能独立看懂扫描报告里的高危字段，还能给开发提修复建议，这种成长挺真实的。

2.职业规划联结

实习前想进甲方做安全运维，觉得比渗透测试稳定，但参与项目后发现自己更喜欢挖漏洞的挑战。特别是最后那个政府系统，客户要求不能有物理接触，我就用Wireshark抓了三条异常的DNS查询，顺藤摸瓜发现了个域控权限漏洞，提上去被评为P3。这让我意识到，技术岗位其实都离不开解决问题，而漏洞挖掘直接跟攻击者较劲，更刺激。现在计划下学期报考CISSP，把基础安全框架系统化，同时想练练Python脚本，之前写个简单的扫描器花了两天，导师说以后能省不少事。

3.行业趋势展望

公司用的漏洞扫描器版本比我学校实验室的都新，但有个客户系统用了15年的IE浏览器，这让我看到技术迭代和厂商维护意识之间的差距。导师说现在0day价格比去年涨了40%，这也反映了APT攻击的成本在变化。印象最深的是7月底参与的一次应急响应复盘，对方是勒索软件，但日志分析发现入侵路径是个2年前的弱口令，只是没被监控到。这提醒我，未来安全工作绝不能只靠扫描，得懂业务逻辑，比如金融系统怎么转账，电商系统怎么下单，攻击者可能就在这些流程里动手脚。下阶段想关注下Fuzz测试，之前测试支付接口时发现个竞争条件