penetration-testing

渗透测试

目录

• 概述
• 适用场景
• 快速入门
• 参考指南
• 最佳实践

概述

通过模拟攻击，系统地测试安全性，以识别、利用并记录应用程序、网络和基础设施中的漏洞。

适用场景

• 生产前安全验证
• 年度安全评估
• 合规要求（PCI-DSS、ISO 27001）
• 事件发生后的安全审查
• 第三方安全审计
• 红队演练

快速入门

最简可运行示例：

# pentest_framework.py
import requests
import socket
import subprocess
import json
from typing import List, Dict
from dataclasses import dataclass, asdict
from datetime import datetime

@dataclass
class Finding:
    severity: str
    category: str
    target: str
    vulnerability: str
    evidence: str
    remediation: str
    cvss_score: float

class PenetrationTester:
    def __init__(self, target: str):
        self.target = target
        self.findings: List[Finding] = []

    def test_sql_injection(self, url: str) -> None:
// ... (see reference guides for full implementation)

参考指南

references/ 目录中的详细实现：

指南	内容
自动化渗透测试框架	自动化渗透测试框架
Burp Suite 自动化脚本	Burp Suite 自动化脚本

最佳实践

✅ 应该

• 获取书面授权
• 明确界定范围
• 使用受控环境
• 记录所有发现
• 遵循负责任的漏洞披露流程
• 提供修复建议
• 打补丁后验证修复效果
• 维护证据保管链

❌ 不应该

• 未经批准测试生产环境
• 导致服务中断
• 外传敏感数据
• 公开分享发现
• 超出授权范围
• 使用破坏性载荷