評估概覽
評估內容
應用程式路由、角色、測試帳戶、環境和排除項事先達成一致
經認證和未經認證的測試，兩者均在範圍內
手動審查存取控制、會話、輸入處理和業務邏輯
使用指定測試數據安全驗證發現
由證據支持的報告，供管理層、工程團隊及重新測試之用
測試覆蓋範圍
檢查內容
最終覆蓋範圍取決於協定的系統、存取權限、目標、排除項目及安全要求。
身份驗證和帳戶恢復
會話管理
存取控制及權限邊界
輸入處理和注入風險
業務邏輯濫用
敏感數據和瀏覽器安全控制
行業參考資料
如何獲取覆蓋範圍資訊
OWASP 網頁安全測試指南
網絡應用程式安全評估的測試覆蓋範圍。
OWASP ASVS
根據已議定的保證級別，驗證控制措施及報告內容。
PTES
範圍界定、受控驗證、測試後分析和報告。
這些參考資料為評估提供依據。測試本身並不提供認證或保證合規。
最終報告
報告中包含的內容
報告專為決策者和負責修復的團隊而設計。
覆蓋範圍與商定的應用程式功能相符。
可重現的技術發現事項
證據和受影響角色
開發團隊的補救指引
可選的驗證重測
討論所需的範圍和報告。
DIGITPOL HK 將在測試前確認目標、限制、證據需求和報告要求。