定义测试范围和渗透测试准备
在开始渗透测试之前，必须明确定义测试范围：包括哪些域名、IP地址、功能和应用组件在测试范围内。来自所有者或负责人的书面授权对工作的合法性至关重要。记录初步协议保护双方并确保执行过程中的透明度。建立清晰的交战规则可以防止误解并提供法律保护。
准备工作包括收集有关应用技术栈的信息、识别入口点（如登录表单、API端点、文件上传机制）以及身份验证机制。使用各种权限级别创建测试账户可以验证访问控制。使用独立隔离的环境进行测试可以防止对生产系统的影响，并允许安全地利用漏洞进行验证。
OWASP Top 10中的关键漏洞类别
OWASP Top 10定义了Web应用最关键的风险类别。测试必须系统地覆盖这些领域，从最常见的开始：注入（SQL、命令、LDAP）、身份验证绕过、敏感数据暴露、XML外部实体（XXE）、破损的访问控制、安全配置错误、跨站脚本（XSS）、不安全的反序列化、使用存在已知漏洞的组件以及日志记录不足。每个类别都需要特定的测试技术和对基础技术的理解。
例如，SQL注入测试使用各种数据库语法，针对支持的数据库进行测试，理解不同的转义机制。XSS测试涵盖DOM向量、反射向量和存储向量，使用特定于上下文的payload。访问控制测试尝试访问属于其他用户的资源和权限提升场景。系统覆盖OWASP Top 10类别可以显著降低在评估期间遗漏关键漏洞的风险。
标准化测试方法论：OWASP Web安全测试指南
OWASP Web安全测试指南（WSTG）提供了一种结构化的安全测试方法。该方法论将过程分为多个阶段：信息收集、配置和部署管理、身份管理、身份验证测试、授权测试、会话管理、输入验证、业务逻辑测试、文件上传测试、错误处理验证和日志记录评估。对于每个阶段，WSTG定义了具有详细过程和预期结果的特定测试。
在信息收集期间，通过HTTP头分析、源代码检查和元数据检查识别技术和框架。配置评估包括评估Web服务器安全设置、SSL/TLS配置以及不安全HTTP方法的可用性。这种系统方法可以降低遗漏漏洞的风险。结构化方法论确保了多个测试人员的一致性和对应用的全面覆盖。
注入测试和输入验证评估
注入仍然是最危险的漏洞类别之一。测试包括验证所有入口点：URL参数、POST请求体、HTTP头和Cookie。SQL注入测试使用分隔符字符（单引号、双引号、分号）、逻辑运算符（OR 1=1）和UNION查询来揭示敏感数据。数据库错误消息通常会泄露有关结构的信息，这有助于攻击者了解情况。
XML注入和XXE攻击通过分析XML输入处理来测试，包括使用外部实体访问本地文件或执行SSRF攻击。命令注入测试使用shell特殊字符（分号、管道、安培号），当用户输入被传递到系统命令时。有效的测试需要理解相关技术（PHP、Python、Java）的语法和可用的转义机制。测试应包括已知的和新颖的注入向量。
输出编码测试和跨站脚本（XSS）
跨站脚本（XSS）通过在入口点注入JavaScript代码并观察执行情况来测试。反射型XSS通过在URL参数中传输payload并分析HTML响应中未编码的输入来测试。存储型XSS通过使用payload上传数据并验证其为其他用户显示来测试，演示了持久性。基于DOM的XSS需要分析JavaScript代码和DOM操作方法（如innerHTML和eval），这些方法可能不安全地处理用户控制的数据。
根据上下文（HTML标签上下文、属性上下文、JavaScript字符串上下文和URL上下文）为每个向量使用不同的payload。典型的payload包括用于确认执行的alert框，演示了窃取Cookie、执行重定向或修改页面内容的能力。验证内容安全策略（CSP）头表明对XSS攻击的额外保护。测试包括简单的向量检测和绕过常见安全过滤器的高级payload。
发现文档化、分析和报告
每个发现的漏洞都使用OWASP Top 10分类、严重程度级别（严重、高、中、低）、问题描述、复现步骤和概念验证证据进行文档化。区分真实漏洞和误报对报告质量至关重要。为每个发现提供补救建议，按评估风险进行优先级排序。清晰沟通技术细节使开发团队能够有效地理解和修复问题。
最终报告包括执行摘要、按类别和严重程度级别的统计数据、带有上下文的详细漏洞描述、测试方法论和工作时间范围。在测试期间与开发团队的互动有助于澄清背景并验证发现的问题。补救后的复检测试可以确认所实施安全措施的有效性。全面的文档既可以作为工作证明，也可以作为未来安全评估和改进工作的参考。