测试范围界定与目标确立
渗透测试是一种授权的安全测试活动，通过模拟攻击者的行为来发现网络应用中存在的漏洞。在开始测试之前，必须明确定义目标系统、允许的攻击方法和测试时间范围。根据GOST要求，需要文档化测试协议，其中应规定测试目标、测试边界和各方的权利义务。
在规划阶段，应识别应用中的关键组件、敏感数据资产以及需要强化保护的功能。需要与业务部门协商哪些技术（如社会工程学、端口扫描等）是被允许使用的。清晰地界定范围既保护了组织的利益，也保护了安全专业人员免受法律风险。
- 获得所有利益相关方在测试开始前的书面授权
- 明确界定数据的重要性等级和可接受的影响程度
- 制定测试计划以最小化对生产系统的干扰
信息收集与侦察
第一阶段包括对目标应用的被动和主动信息收集。被动侦察包括分析公开来源、WHOIS数据、DNS记录和搜索引擎结果，这些活动不会对目标系统施加直接负载。主动侦察涉及向应用服务器发送请求，以识别软件版本、应用架构和使用的底层技术。
信息收集阶段应产生关于主机、运行的服务、软件版本和可观测配置特征的详细记录。这些信息为随后的针对性攻击规划提供基础。根据GOST要求，应在测试协议中记录所有发现的信息，并标注发现方法和时间戳。
- 分析DNS和WHOIS信息
- 端口扫描和服务枚举
- 识别应用技术栈
漏洞评估与风险分析
在侦察阶段之后，进行系统的漏洞分析。该过程包括针对已知攻击类（符合OWASP Top 10标准）以及该特定应用特有漏洞的测试。安全专业人员使用自动化扫描工具和对关键功能的手动审查相结合，因为自动化扫描器无法检测所有类型的漏洞。
对发现的每个漏洞进行评估，考虑以下标准：数据敏感性、未授权用户的可访问性、利用所需的技能水平和潜在影响。根据GOST规定，必须按严重程度对漏洞进行分类，并提供正当理由和风险计算。文档应包含引发漏洞的确切条件说明和复现步骤。
- 测试输入处理和验证机制
- 分析认证和会话管理控制
- 评估敏感数据在传输和存储中的保护
漏洞演示与控制性利用
此阶段涉及对确认的漏洞进行控制性利用，以验证其真实存在并评估实际影响。漏洞利用的范围应限制在足以证明漏洞存在的最小必要程度。测试人员应精确记录每一步，包括使用的工具、提交的请求和获得的结果。
在处理关键系统时，应最小化意外服务中断或数据损毁的风险。GOST强调所执行操作可逆性的重要性，并要求在出现意外后果时立即停止利用。漏洞利用的结果应该是可复现的，能够在重复测试中进行验证。
- 使用最小必要影响来确认漏洞存在
- 准确记录执行的操作和命令的完整序列
- 若出现意外后果应立即停止
后渗透分析与权限评估
在成功进行初次利用后，分析所获得的能力以及如何利用这些能力进一步渗透系统。此阶段确定哪些数据变为可访问状态、可能获得哪些额外的账户或权限，以及这些对其他系统组件的影响。测试人员评估系统内的横向移动可能性、权限提升的机会和对关键资产的访问。
分析结果应从攻击链的角度考虑：多个相对简单的漏洞组合如何导致完整的系统compromise。根据GOST规定，必须记录完整的攻击链，描述每个访问级别之间的转移以及对系统安全的累积影响。
- 评估所获得的访问级别和权限
- 分析网络内的横向移动可能性
- 记录从初始访问到关键资产的完整攻击链
文档编制与报告
测试过程和发现结果的完整文档是GOST的强制性要求。报告应包含供管理层查阅的执行摘要、每个漏洞的技术说明、逐步复现说明和补救建议。每个漏洞应标注严重程度等级、潜在影响和补救的紧急程度。
补救建议必须具体且技术上可实现，包括代码示例和配置更改。报告需与客户协调一致，并按照信息保护要求进行存储。GOST要求保存测试证据，包括工具日志、截图、关键利用时刻的视频记录以及与客户的往来通信。
- 为管理层提供重点发现和业务风险的执行摘要
- 每个漏洞的技术说明，包括payload示例和结果
- 具体的补救建议，包括代码和配置示例
补救验证与重新测试
在完成漏洞补救工作后，进行重新测试以确认纠正措施的有效性。测试人员验证之前发现的漏洞是否已真正消除，并检查是否引入了新的漏洞。此阶段包括验证修复措施不会导致安全性或功能性的回退。
根据GOST规定，重新测试应在协议规定的时间范围内进行，通常不迟于补救后两周。重新测试结果应在单独的报告中记录，确认漏洞已成功补救。组织在将更新后的应用部署到生产环境之前，获得补救有效性的确认。
- 验证每个之前发现的漏洞
- 检查补救更改是否引入了新漏洞
- 记录重新测试结果和确认的补救状态