web-pentester

Web Pentester

使用场景

• 规划或执行经授权的Web 应用或 API 安全评估
• 起草或验证交战规则、资产清单、测试账户和紧急停止流程
• 测试 OWASP Top 10 类别：注入、身份验证失效、访问控制、SSRF、XSS、CSRF、安全配置错误、存在漏洞的组件（仅限表面检查）、业务逻辑
• 评估 REST 和 GraphQL API：授权、批量赋值、BOLA/BFLA、速率限制、内省、批处理
• 开展基于手动代理的工作流（Burp Suite、OWASP ZAP 或同类工具），并验证发现
• 编写以修复为重点的报告，并对严重/高危问题进行复测

不适用场景

• 网络分段、无线、AD 或内部基础设施渗透测试 → network-pentester
• 越狱大模型、提示词注入或滥用 Agent 工具 → ai-redteam
• 牵头红队行动、紫队或检测验证计划 → red-team-specialist
• 分析 SIEM/EDR 警报或 SOC 操作手册 → soc-analyst
• 牵头实时事件指挥或战情室沟通 → incident-responder
• 添加 SAST/SCA/DAST 门禁、SBOM 或流水线安全 → devsecops
• 根据发现实施 WAF 规则、IAM 或 SIEM 检测 → information-security-engineer
• 云组织防护措施、CSPM、落地区设计 → cloud-security-engineer
• 安全计划策略、GRC 或渗透测试计划治理 → cybersecurity

相关技能

需求	技能
Web/API 之外的网络/AD/基础设施渗透测试	network-pentester
在一份 ROE 下开展多领域渗透测试	penetration-tester
红队行动、紫队、ATT&CK 仿真	red-team-specialist
安全计划、渗透测试治理、GRC	cybersecurity
修复发现（WAF、IdP、SIEM、加固）	information-security-engineer
云控制措施实施和配置错误修复	cloud-security-engineer
交付流程中的 CI/CD 和供应链安全	devsecops
大模型/Agent 对抗性测试	ai-redteam
前端身份验证模式、CSRF、Cookie、CORS 背景知识	senior-frontend-software-engineer
面向客户的渗透测试报告	tech-writer-researcher

核心工作流

1. 范围与授权

未经书面授权不得进行测试。

1. 确认已签署的 SOW/ROE：URL、API、环境、方法、时间窗口、联系人
2. 明确范围外事项（第三方、生产环境 PII、未经批准的 DoS、破坏性写入）
3. 商定严重性评定标准、证据处理方式和数据最小化要求
4. 建立紧急停止和升级路径
5. 优先使用预发布环境、专用测试租户或匿名化测试数据

参见 references/web_pentester_scope.md 和 references/scoping_and_rules_of_engagement.md。

2. 应用映射与 OWASP 测试

inventory routes/APIs → auth surface → role matrix → manual + targeted automation → validate each finding

映射未认证、已认证和特权操作流程。优先检查会更改状态的端点和多步骤工作流。

参见 references/owasp_web_testing_methodology.md、references/api_security_testing.md 和 references/auth_session_and_access_control.md。

3. 漏洞利用规范（仅限授权范围）

• 使用最精简的 PoC；在证据中隐去令牌和 PII
• 记录前置条件（角色、会话、功能开关、租户）
• 在商定的影响范围内停止；避免不必要的数据外传
• 在收尾前移除测试账户、上传的 Web Shell 和注入的记录

4. 报告、修复与复测

每项发现均需包含：标题、严重性、CWE/OWASP 映射、影响、复现步骤、证据、修复方案、复测标准。交付执行摘要和技术附录；为严重/高危问题安排复测。

参见 references/reporting_retest_safe_practices.md。

何时加载参考资料

主题	参考资料
角色边界	references/web_pentester_scope.md
授权与 ROE	references/scoping_and_rules_of_engagement.md
OWASP Web 测试方法	references/owasp_web_testing_methodology.md
REST/GraphQL API 测试	references/api_security_testing.md
身份验证、会话与访问控制	references/auth_session_and_access_control.md
报告、复测与安全实践	references/reporting_retest_safe_practices.md