确定测试范围和目标
在开始工作前，必须明确定义测试范围，获得书面授权，并确定目标系统。网络应用渗透测试与基础设施测试不同，重点是应用逻辑、数据处理和用户交互。与客户协调定义测试边界，包括是否允许模糊测试、暴力攻击尝试、认证绕过尝试和自动化工具使用。必须明确具体的测试方法是获得批准还是受到限制。
书面形式的协议记录可以保护双方利益，防止出现意外情况。文档应包括IP地址列表、域名、排除项（关键系统、第三方服务）和测试时间安排。在没有获得特定测试方法的明确同意的情况下，可能会产生法律和技术问题。需要明确说明测试是否应避免对生产系统造成干扰，以及在测试过程中发现任何事件时如何处理。
- 获取书面授权许可进行渗透测试
- 明确定义目标系统和排除项
- 澄清允许的测试方法和工具
信息收集与侦察阶段
收集关于目标应用的开源信息是主动测试的第一阶段。Kali Linux提供的工具可用于识别域名、IP地址、子域、历史数据和服务器配置。被动扫描包括分析DNS记录、搜索引擎查询（Google dorks）、WHOIS注册表查询和检查网页源代码。此阶段旨在收集信息而不触发检测系统。
主动侦察需谨慎，因为可能触发安全监控。端口扫描和直接服务器请求必须仅在商定的时间窗口内进行，并获得明确的许可。收集的信息为选择更深层次的测试目标奠定基础，并帮助理解应用架构。单独进行被动信息收集通常能提供足够的细节指导后续测试阶段。
- 从公开资源进行被动情报收集
- 仅在客户授权情况下执行端口扫描
- 记录所有发现的服务和软件版本
应用映射与功能分析
理解应用结构对进行有效渗透测试至关重要。以普通用户身份浏览核心功能，记录所有可访问的参数、表单、数据入口点和请求类型。注意隐藏的表单字段、API端点、使用的认证系统和会话管理机制。Kali Linux工具，包括浏览器代理扩展，可帮助拦截和分析HTTP流量，从而更详细地理解应用。
应用映射应包括所有接受用户输入的参数。根据OWASP网络安全测试指南，这包括URL参数、POST数据、cookies、HTTP头和文件上传。每个入口点可能包含漏洞，因此映射的完整性直接影响测试质量。能够捕获和重放请求的工具对于对每个已识别参数进行方法论测试变得无价。
- 使用浏览器开发者工具分析请求
- 记录所有参数和数据类型
- 识别认证和会话管理机制
OWASP Top 10漏洞测试
OWASP Top 10 2025确定了必须在测试中优先考虑的关键网络应用漏洞类别。这些包括认证和授权缺陷、输入验证失败、机密性和完整性问题，以及不充分的安全控制。每个类别需要特定的测试方法：SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）、访问控制绕过等。OWASP网络安全测试指南为每种漏洞类型提供了详细的方法论。
对每个类别的测试需要理解基础机制。SQL注入测试需要了解数据库语法和过滤器绕过技术。XSS测试必须区分反射型、存储型和DOM型向量。破损认证测试包括密码重置流程、多因素认证弱点和会话管理缺陷。方法论方法确保对每个漏洞类别的全面覆盖，而不是表面的扫描。
- 注入攻击（SQL、NoSQL、命令注入）
- 跨站脚本（反射型、存储型、DOM型）
- 跨站请求伪造（CSRF）
- 认证和访问控制绕过
- 会话管理漏洞
HTTP协议和安全头分析
HTTP作为数据传输协议包含应用必须正确实现的安全机制。分析HTTP响应头中是否存在安全指令：Content-Security-Policy、Strict-Transport-Security、X-Frame-Options、X-Content-Type-Options。这些头的缺失或配置不当会允许攻击者进行本应被防止的攻击。测试HTTPS的正确使用和证书配置。
检查cookies是否存在Secure和HttpOnly标志，这些标志防止在未加密通道上传输敏感数据并阻止JavaScript访问。测试重定向、缓存机制和条件请求，这些可能会泄露信息或允许应用行为被操纵。查看应用如何在头中处理认证凭证，以及敏感数据是否出现在可能被暴露的URL或日志中。
- 验证安全头的存在（CSP、HSTS、X-Frame-Options）
- 验证HTTPS使用和证书有效性
- 分析cookie配置和安全标志
使用Kali Linux工具进行自动化测试
Kali Linux提供自动漏洞扫描工具。自动化在大规模发现明显问题方面很高效，但不能替代应用逻辑的手动测试。使用扫描器快速获得基线安全信息，然后关注已识别问题的详细分析和需要理解业务逻辑的复杂漏洞发现。自动化工具作为调查的起点，而不是完整的评估。
自动扫描的结果需要验证和完善。许多误报需要手动验证每个发现，然后才能包含在报告中。将自动化工具与手动分析、浏览器代理工具和自定义脚本结合，用于测试特定的漏洞假设。这种混合方法平衡了效率和准确性，减少了最终评估中的误报和漏报。
- 使用自动扫描器进行基线发现
- 手动验证所有发现以排除误报
- 结合自动化和手动测试
文档编制与报告准备
高质量的渗透测试报告不仅必须包含漏洞列表，还必须包含其背景、复现步骤和修复建议。对于每个漏洞，应记录：问题描述、受影响功能的精确参考、分步复现说明、概念证明（如安全的话）和修复建议。根据OWASP标准或其他商定的方法评估严重程度，以便优先级排序。
按严重程度分隔问题，为开发人员提供明确的修复建议。包括漏洞如何被利用以及可能造成什么损害的说明。最终报告应对技术和非技术读者（包括组织领导）都易于理解。有效的报告将发现转化为可行指导，推动实现真正的安全改进。
- 记录每项发现的复现细节
- 提供具体的修复建议
- 使用商定的方法评估严重程度