本文提供渗透测试实施的实用指南，涵盖范围界定、测试执行与报告编写，并附有测试场景检查表，帮助安全团队高效开展渗透测试。
渗透测试是验证系统安全性的有效手段，但许多团队在实施时容易陷入“工具扫描即测试”的误区。本文基于实际项目经验，梳理一套可落地的实施流程，并附上测试场景检查表，帮助你避免常见遗漏。
一、测试前的范围界定与规则
在启动任何测试前，必须与业务方明确以下内容：
- 测试目标：是外部网络、内部网络、Web应用还是移动端？每个目标的风险容忍度不同。
- 授权范围：明确允许的IP段、域名、测试时段（如非生产环境或夜间窗口）。
- 限制条件：禁止使用哪些攻击手法（如拒绝服务、社会工程学需单独授权）。
- 应急联系人：若触发告警，谁负责叫停或调整测试？
建议使用渗透测试服务中的标准范围模板，避免口头约定导致后续纠纷。
二、测试执行：从信息收集到漏洞利用
2.1 信息收集阶段
- 被动收集：通过DNS、证书透明度、搜索引擎获取目标资产。
- 主动收集：端口扫描、服务识别、目录枚举。注意控制速率，避免被WAF拦截。
2.2 漏洞分析与利用
- 自动化扫描：使用Nessus、OpenVAS等工具生成初始报告，但需人工验证误报。
- 手动验证：针对关键漏洞（如SQL注入、RCE）编写PoC，确认可利用性。
- 权限提升：尝试从低权限账户横向移动，评估实际影响。
2.3 记录与证据保存
所有操作需保留截图、命令输出、时间戳。建议使用Burp Suite的日志功能或自行编写脚本记录。
三、报告编写与修复建议
报告应包含：
- 执行摘要：面向管理层，用业务语言描述风险等级与影响。
- 技术细节：每个漏洞的复现步骤、影响范围、CVSS评分。
- 修复建议：分短期缓解与长期加固，例如“立即打补丁”和“实施安全开发生命周期”。
我们整理了一份渗透测试主题下的报告模板，可参考其中的结构。
四、实战检查清单：测试场景包
以下是一个典型的Web应用测试场景包，可直接用于内部演练：
| 场景 | 测试点 | 预期结果 |
|---|---|---|
| 身份认证绕过 | 尝试SQL注入登录、JWT伪造 | 应拒绝未授权访问 |
| 文件上传漏洞 | 上传WebShell、修改Content-Type | 应校验文件类型与内容 |
| 越权访问 | 修改URL中的用户ID参数 | 应校验会话所有权 |
| 敏感信息泄露 | 检查响应头、错误页面、源码注释 | 不应暴露版本号、路径等 |
将此清单与你的业务场景结合，可大幅减少遗漏。
五、常见问题
问：渗透测试频率应该是多少？
答：建议每年至少一次全面测试，并在重大版本更新或基础设施变更后追加测试。
问：测试中发现漏洞后，修复时间多长合适？
答：高危漏洞应在72小时内完成修复，中危漏洞可在一周内安排。
问：内部团队做渗透测试和外部服务有何区别？
答：内部团队更了解系统，但可能存在盲区；外部服务能提供客观视角，且通常具备更广泛的攻击手法库。两者结合效果最佳。
Authority navigation
常见问题
渗透测试频率应该是多少？
建议每年至少一次全面测试，并在重大版本更新或基础设施变更后追加测试。
测试中发现漏洞后，修复时间多长合适？
高危漏洞应在72小时内完成修复，中危漏洞可在一周内安排。
内部团队做渗透测试和外部服务有何区别？
内部团队更了解系统，但可能存在盲区；外部服务能提供客观视角，且通常具备更广泛的攻击手法库。两者结合效果最佳。