security-audit

安全审计

适用场景

• 审计 Web 应用或 API，检查安全问题
• 审查身份验证、授权或会话处理
• 检查输入验证、注入风险或数据泄露
• 在发布前进行结构化加固与报告

范围与安全

• 确认目标、授权边界，以及测试是只读还是允许主动探测。
• 除非获得明确授权，否则不要运行破坏性检查、大规模模糊测试或拒绝服务式流量测试。
• 开始前记录假设、环境限制和访问级别。
• 优先提供可复现的证据，避免笼统断言。

审计工作流

阶段 1：范围界定与侦察

1. 确定范围内的域名、应用、API、作业和后台工作进程。
2. 绘制攻击面：
   • 路由和入口点
   • 身份验证流程
   • 管理界面
   • 文件上传或导入路径
   • 第三方回调和 Webhook
3. 记录框架、托管模式、数据存储和外部集成。
4. 测试前建立一份简单的资产清单。

阶段 2：基线审查

1. 检查依赖版本、已知暴露面和明显的错误配置。
2. 审查环境与部署假设：
   • 密钥处理
   • 日志记录
   • 调试模式
   • CORS
   • Cookie 标志
   • 安全标头
3. 确定适合自动化扫描的区域，但保持工作流自包含：描述要运行的扫描及其原因。

阶段 3：Web 应用手动测试

检查：

• 查询参数、表单、搜索、筛选器、上传和模板渲染中的注入风险
• 存储型、反射型和 DOM 驱动流程中的 XSS 风险
• 身份验证失效、会话处理薄弱，以及不安全的密码重置流程
• 用户、团队和管理员范围内的访问控制失效与 IDOR 模式
• 状态变更请求中的 CSRF 风险
• 路径遍历、文件处理和不安全的对象访问
• UI、日志、客户端存储和错误消息中的敏感数据泄露

对于每项发现，记录：

• 入口点
• 所需权限
• 复现步骤
• 观察到的影响
• 修复方向

阶段 4：API 安全审查

检查：

• 端点清单和未记录的路由
• 每个状态变更端点上的身份验证与授权覆盖情况
• 租户隔离和对象级授权
• 速率限制和滥用防护
• 请求验证和 Schema 强制执行
• 错误响应中的不安全默认设置
• Webhook 签名验证和重放处理

适用时，描述应测试的具体请求变体：

• 缺少身份验证
• 低权限身份验证
• 跨租户标识符
• 格式错误的负载
• 边界值
• 重复请求

阶段 5：加固审查

审查：

• 密码和令牌的生命周期
• 适用场景下的 MFA 或逐步提升身份验证
• 最小权限角色和管理员隔离
• 特权操作的审计日志
• 密钥管理与轮换
• SSRF、开放重定向和出站请求控制
• 文件上传验证和存储隔离
• 备份、恢复和事件响应准备情况

阶段 6：报告

生成包含以下内容的报告：

1. 执行摘要
2. 范围与方法
3. 按严重性排序的发现
4. 复现说明与证据
5. 修复建议
6. 剩余风险与后续检查

安全检查清单

Web

• 已审查身份验证流程
• 已审查授权边界
• 已审查会话处理
• 已审查输入验证
• 已审查注入风险
• 已审查 XSS 风险
• 已审查 CSRF 防护
• 已审查错误处理与数据泄露

API

• 已记录端点清单
• 已逐个端点检查身份验证覆盖情况
• 已检查对象级授权
• 已审查速率限制
• 已审查验证与 Schema 处理
• 已审查 Webhook 验证

运维

• 已审查机密信息处理
• 已审查日志记录和审计跟踪
• 已审查安全标头和 Cookie 设置
• 已审查依赖项状况
• 已审查恢复能力和事件响应准备情况

输出标准

每项发现都应包含：

• 标题
• 严重程度
• 受影响的范围
• 复现步骤
• 影响
• 修复方案
• 置信度

限制

• 此技能用于组织审计流程，不能替代针对特定环境的测试或专家审查。
• 如果访问权限、授权或交战规则不明确，请停止并先行确认。