渗透测试

API渗透测试

使用代表性角色和授权测试数据，对API端点、身份、单个对象权限、数据流和滥用控制进行结构化评估。

评估范围

测试内容

最终测试覆盖范围在范围界定期间协定，并限于已提供书面授权的系统。

对象与功能授权

身份验证和令牌生命周期

输入验证和注入

速率限制和资源消耗

敏感数据泄露

清单、版本控制和不安全整合

委聘流程

定义目标、经批准的系统、限制、测试窗口、联系人及交战规则。

确立经授权的攻击面、架构、用户角色、资产和适用的评估标准。

使用适合环境的手动和技术方法评估经批准的范围。

安全地确认发现，消除误报，并建立切实可行的技术和业务影响。

接收附有证据、风险评级、执行摘要和修复优先次序的调查结果。

与评估团队审阅拟议的纠正措施并澄清实施优先次序。

验证已议定的修复措施，并记录每个经测试的发现是否已解决、减少或仍未解决。

评估参考

基于常见 API 授权、数据、资源及库存弱点风险的覆盖范围。

支持身份验证、会话、输入处理和传输的测试技术。

评估规划、证据处理、分析和缓解。

标准指导范围和测试覆盖范围。评估本身不构成认证或保证合规性。

报告

端点和角色覆盖范围摘要

带有请求证据的已验证发现

滥用情景和业务影响分析

工程修复指南

验证重新测试

与 DIGITPOL HK 讨论系统、目标、访问级别和所需证据。