Yaklang/Yakit项目中风险类型(risk.type)的正确使用方法

在Yaklang/Yakit项目的安全测试中，风险报告(risk)是一个核心功能模块，它允许安全研究人员将发现的安全问题规范化地输出。其中risk.type()参数的正确设置尤为重要，因为它决定了问题的分类和后续处理方式。

风险类型参数的重要性

risk.type()参数用于指定问题的类型分类，这个参数必须准确填写，否则系统会默认归类为"其它"类型。这不仅影响报告的准确性，还可能影响后续的管理和修复优先级评估。

常见风险类型对照

根据Yaklang/Yakit项目的文档和实践经验，以下是一些常见的类型及其对应的缩写：

• SQL注入: "sqli"
• 跨站脚本: "xss"
• 远程代码执行: "rce"
• 信息泄露: "info"
• 文件包含: "file-include"
• 命令注入: "command-injection"
• 路径遍历: "path-traversal"
• 服务器端请求伪造: "ssrf"
• XML外部实体注入: "xxe"
• 不安全的直接对象引用: "idor"

使用建议

1. 优先使用标准缩写：系统能够自动识别常见的缩写形式，如"sqli"、"xss"等。

2. 保持一致性：在整个项目中，建议团队统一使用相同的类型标识，便于后续统计和分析。

3. 结合risk.typeVerbose()：可以使用risk.typeVerbose()提供更详细的类型描述，这对于报告的可读性很有帮助。

4. 参考官方文档：Yakit项目已经完善了关于risk的文档，建议开发者在使用前仔细阅读。

示例代码

risk.NewRisk(
    result.Url,
    risk.title("BakFile: %v" % result.Url),
    risk.payload(result.Url),
    risk.severity("high"),
    risk.description(BakFile_DESC),
    risk.solution(BakFile_RSV),
    risk.type("info"),  # 正确使用标准缩写
    risk.typeVerbose("文件泄露"),
    risk.request(result.RequestRaw),
    risk.response(result.ResponseRaw),
)

注意事项

如果risk.type()参数填写不正确或使用了系统无法识别的类型，系统会自动将其归类为"其它"类型。这可能导致问题被低估或忽略，因此务必确保使用正确的类型标识。

对于新发现的问题类型，如果不在现有分类中，建议先与团队讨论确定合适的分类方式，或者在项目社区中提出，以便完善类型系统。