pentest-engagement-methodology

渗透测试项目方法论

按照结构化、可重复的方法开展经授权的渗透测试。

适用场景

• 你正在规划或执行已获得书面授权的渗透测试
• 你需要确保项目覆盖范围完整、执行一致
• 你正在为客户或内部利益相关者准备交付物

严格规则

1. 未经书面授权，绝不进行测试。 在接触任何对象之前，核实范围说明、交战规则（RoE）和紧急联系人。
2. 严格遵守范围。 测试前，根据范围文档核对每个 IP、域名和 URL。如有疑问，请先询问，切勿猜测。
3. 除非获得明确授权，否则不得执行破坏性操作： 不得发起 DoS、破坏数据或导致生产环境暴力破解锁定。

阶段

1. 范围界定与规划

• 记录范围内资产、范围外资产、测试时段和升级路径
• 确定项目类型：黑盒／灰盒／白盒
• 商定证据处理和数据销毁要求
• 准备测试计划并获得签字批准

2. 侦察

• 先进行被动侦察：证书透明度、DNS 记录、公开代码、招聘信息
• 再进行主动侦察：端口扫描、服务指纹识别、子域名枚举
• 建立资产清单，并记录所有者备注和观察到的技术

3. 漏洞分析

• 根据技术栈，将攻击面映射到可能的漏洞类别
• 对每项发现进行人工验证——扫描器会产生噪声；你需要提供证据
• 根据可利用性和业务影响，对候选发现进行排序

4. 漏洞利用

• 使用能够证明问题的最小侵入性方式（POC 优于有效载荷）
• 对每次漏洞利用尝试记录：请求、响应、工具、版本和时间戳
• 如果到达关键系统边界，立即停止并向客户升级报告

5. 后渗透

• 展示影响：立足点能够获得哪些数据或访问权限
• 仅在 RoE 范围内尝试权限提升和横向移动
• 清理：移除 Shell、脚本和残留文件；记录创建的内容及其位置

6. 报告

• 执行摘要：用通俗语言说明业务风险
• 发现项：标题、严重程度（CVSS）、受影响资产、复现步骤、证据、修复建议
• 复测标准和正向观察结果

输出格式

交付：测试计划、资产清单、附带证据的发现报告、清理日志和复盘议程。