评估概览
评估内容
应用程序路由、角色、测试账户、环境和排除项事先达成一致
经认证和未经认证的测试，两者均在范围之内
手动审查访问控制、会话、输入处理和业务逻辑
使用指定测试数据安全验证发现
由证据支持的报告，供管理层、工程团队及重新测试之用
测试覆盖范围
检查内容
最终覆盖范围取决于约定的系统、访问权限、目标、排除项目及安全要求。
身份验证和账户恢复
会话管理
访问控制及权限边界
输入处理和注入风险
业务逻辑滥用
敏感数据和浏览器安全控制
行业参考资料
如何获取覆盖范围信息
OWASP Web 安全测试指南
Web应用程序安全评估的测试覆盖范围。
OWASP ASVS
根据已议定的保证级别，验证控制措施及报告内容。
PTES
范围界定、受控验证、测试后分析和报告。
这些参考资料为评估提供依据。测试本身并不提供认证或保证合规。
最终报告
报告中包含的内容
报告专为决策者和负责修复的团队而设计。
覆盖范围与商定的应用程序功能相符。
可重现的技术发现事项
证据和受影响角色
开发团队的补救指引
可选的验证重测
讨论所需的范围和报告。
DIGITPOL HK 将在测试前确认目标、限制、证据需求和报告要求。