Web 应用渗透测试
- 覆盖
- OWASP Top 10 · 业务逻辑漏洞
工具
常见风险
注入攻击
SQL 注入、命令注入、模板注入等，可能导致数据被批量窃取，甚至服务器被控制。
越权访问
对象级或功能级授权校验缺失，可能使用户访问其他账号的数据或执行超出权限的操作。
认证与会话缺陷
弱口令、验证码可绕过、找回密码逻辑缺陷、会话管理不当等问题。
敏感数据泄露
接口返回多余字段、调试信息外露、备份文件或源代码可被直接下载。
业务逻辑漏洞
金额篡改、优惠券重复使用、并发下单、流程跳步等扫描器难以发现的问题。
服务端高危漏洞
SSRF、任意文件上传、反序列化等可能让攻击者进入内网的问题。
测试范围
- 企业官网、Web 应用与管理后台
- REST、GraphQL 等 API 接口
- 登录、注册、找回密码等认证流程
- 支付、订单、权限等核心业务流程
- 文件上传、导入导出等功能
评估方法
信息收集
梳理约定资产、接口、功能与技术栈，形成评估所需的攻击面清单。
自动化与人工测试
工具覆盖常见漏洞，人工深入业务逻辑与权限模型。
漏洞验证
逐一验证每个发现，排除误报，评估真实影响。
报告与建议
给出复现步骤、风险等级和具体的修复方法。
约定范围内复测
报告所列问题在双方约定的范围与窗口内安排免费复测。复测记录原问题是否仍可复现，以及需要继续跟进的事项。
评估交付成果
- 漏洞报告
- 每个漏洞的位置、复现步骤、证据与影响分析。
- 风险分级
- 按严重、高危、中危、低危分级，帮助您排定修复优先级。
- 修复建议
- 针对具体代码与配置，给出可落地的修复方案。
- 约定范围内复测
- 报告所列问题在双方约定的范围与窗口内安排免费复测。复测记录原问题是否仍可复现，以及需要继续跟进的事项。
适用场景
- 新系统或新版本上线前
- 业务涉及支付、用户数据等敏感信息
- 客户或合作方要求提供安全测试报告
- 需要满足合规审计要求
合作常见问题
测试会影响线上业务吗？
测试范围、时间窗口和测试方式都会提前与您书面确认。可能影响稳定性的操作会事先沟通，经您同意后再执行；也可以在测试环境中进行。
渗透测试和漏洞扫描有什么区别？
漏洞扫描主要依赖工具识别常见弱点；渗透测试结合人工分析、验证与业务场景，判断弱点的可利用性及影响。两者可互相补充，均不能保证发现所有问题。
需要提供源代码吗？
不是必须的。默认以黑盒方式测试；如果能提供测试账号、接口文档或源代码，可以进行灰盒或白盒测试，覆盖更深入。
复测收费吗？
报告所列问题在双方约定的范围与窗口内安排免费复测。复测记录原问题是否仍可复现，以及需要继续跟进的事项。