Sample Penetration Test Report PurpleSec

Test Scope Summary 
 
The following information environment zones were included in the scope of the 
penetration test: 
•
Internal Network: Example 
Institute’s general internal
networks. 
The test was conducted in two phases: 
•
Internal stage: Starting from the internal network zone. Intended to simulatethe 
network-level actions of a malicious actor who gained a foothold within the 
internal network zone. 
(Remainder of page left intentionally blank) 

---

PEN TEST REPORT: EXAMPLE INSTITUTE 
JANUARY 1, 2020 
 
8 
[e-mail]
 
3.1 Phase Summary 
3.0 Internal Phase 
 
 
PurpleSec’s ISA conducted various reconnaissance and enumeration activities. Port 
and vulnerability scanning, as well as other reconnaissance activities revealed serious 
security holes. The most concerning vulnerabilities allow complete system takeover on 
important servers, most critically the McAfee Security server; compromise of which 
could allow a potential attacker to render the endpoint security for the entire internal 
network inoperable or ineffective. 
Once server compromise was achieved, directory traversal to search for important data 
was conducted. The analyst was able to identify many directories with private patient 
data and numerous other data that would fall under HIPAA and PCI compliance. 
3.2 Actions Taken 
 
To determine and practically demonstrate the feasibility of expanding access given a 
foothold within the internal network, the ISA conducted the following activities: 
From Zone: Internal network 
Via: N/A 
To Zone: Internal network 
Method: Network-level penetration testing 
Current Zone Activities: 
The ISA used a SecureSensor deployed inside Example Institute’s facilities to conduct 
port, service, and vulnerability scanning as well as other reconnaissance techniques 
within Example Institute’s internal networks. Vulnerabilities were found and validate
d. 
SMB vulnerability ETERNALBLUE was exploited to gain root level access to multiple 
critical systems including the McAfee system security server.