渗透测试

Web应用程序渗透测试

由测试员主导，对网页应用程序的安全控制措施进行审查，包括自动化扫描器无法可靠评估的已认证工作流程和业务逻辑。

评估范围

测试内容

最终测试覆盖范围在范围界定期间协定，并限于已提供书面授权的系统。

身份验证和账户恢复

会话管理

访问控制及权限边界

输入处理和注入风险

业务逻辑滥用

敏感数据和浏览器安全控制

委聘流程

定义目标、经批准的系统、限制、测试窗口、联系人及交战规则。

确立经授权的攻击面、架构、用户角色、资产和适用的评估标准。

使用适合环境的手动和技术方法评估经批准的范围。

安全地确认发现，消除误报，并建立切实可行的技术和业务影响。

接收附有证据、风险评级、执行摘要和修复优先次序的调查结果。

与评估团队审阅拟议的纠正措施并澄清实施优先次序。

验证已议定的修复措施，并记录每个经测试的发现是否已解决、减少或仍未解决。

评估参考

Web应用程序安全评估的测试覆盖范围。

根据已议定的保证级别，验证控制措施及报告内容。

范围界定、受控验证、测试后分析和报告。

标准指导范围和测试覆盖范围。评估本身不构成认证或保证合规性。

报告

覆盖范围与商定的应用程序功能相符。

可重现的技术发现事项

证据和受影响角色

开发团队的补救指引

可选的验证重测

与 DIGITPOL HK 讨论系统、目标、访问级别和所需证据。