工具执行日志留存
评估过程中所有工具执行都应当保留原始输出与时间戳，内容包括完整命令、起止时间、目标地址与执行人，并随证据包一并归档。这样做的价值有三层：报告中的每条结论都能对应到一份原始输出，便于复核；出现争议时可以还原当时的动作边界；客户安全团队事后审计时也有据可查。留痕要靠工具链自动化实现，而不是靠记忆补记，否则一定会漏。
基本信息
| 记录内容 | 完整命令、原始输出、起止时间、目标与执行人 |
|---|---|
| 实现方式 | 会话录制脚本或输出重定向与终端记录功能 |
| 归档方式 | 按案例目录结构存放，与证据包一并保存 |
| 主要价值 | 复核、复现与事后审计 |
典型使用场景
- 扫描类工具：保留完整原始输出作为端口与服务的证据
- 枚举类工具：记录只读查询的请求与返回
- 验证类操作：留存请求与响应，支撑漏洞结论
- 复测对比：用两轮日志对比确认整改变更
- 争议回溯：客户质疑动作范围时提供执行记录
- 多人协作：不同执行人使用统一目录与命名规则，汇总时不遗漏也不重复
会话留痕示例
会话留痕示例
script -q -a /cases/2026-001/tool-logs/session-$(date +%Y%m%d-%H%M%S).log
# 或在命令末尾统一 tee，把输出同时写到日志文件
nmap -sV -oA out 10.0.10.5 | tee /cases/2026-001/tool-logs/nmap-10.0.10.5.log
# Windows 侧可用 PowerShell 的 Start-Transcript 记录整个会话
# 日志文件按日期与目标命名，避免互相覆盖留痕对象与方式
| 对象 | 建议方式 | 备注 |
|---|---|---|
| 命令行交互 | 会话录制脚本 | 覆盖手工执行的临时命令 |
| 工具输出 | 输出重定向到日志文件 | 与工具自带输出格式并用 |
| 图形化工具 | 导出结果与操作截图 | 记录导出时间与操作人 |
| Windows 环境 | 会话转录功能 | 统一存放在案例日志目录 |
日志里可能带口令与令牌：入库前先脱敏，再放入共享或交付目录，避免二次泄露。
证据与日志同源归档：报告中的每条结论标注对应的日志文件名与时间点，复核时可直接定位。