目的

确定Web应用测试范围

描述

根据Web应用的入口，结合后台应用接口的URL来确定Web应用的测试范围。例如http://example.com/下所有可到达功能点。

步骤

1. 分析测试范围内容：

1) 分析Web应用系统各应用入口及入口类型，主体业务功能。

2. 确定测试范围：

1) 被测系统物理子系统名称、所属部门信息、各产品应用入口、被测环境类型等信息。

2) 根据本次测试的目的，确定从应用入口开展全范围测试，还是测试其中部分业务功能或部分测试项。

实施要求

1. 测试范围应清晰明确，提供给测试人员的应用入口可直接访问。

目的

准备测试执行所使用的环境，提供测试账号。

描述

确保渗透测试范围涉及的功能完备可用、业务流畅，含有必要的铺底数据。准备多个不同权限，不同种类，不同机构的测试账号。

步骤

1. 准备功能完善，业务执行流畅的测试环境。关键交易与敏感功能上应具有相应的铺底数据，可以模拟实际使用场景。

2. 依据实际使用场景，准备不同权限级别的若干个账号，保证每一级别权限有一个账号可使用。如果不同机构、不同种类的账号业务功能有区别，则需准备不同机构、不同种类的账号。如果在生产环境中测试实施，提供测试使用的号，或由渗透测试人员自行注册。

实施要求

1. 测试环境功能完善，业务流畅，具有一定铺底数据。

2. 提供若干不同权限级别的测试账号。

指南

目的

针对测试范围内的各功能点、安全机制进行相应的安全性测试，以发现其中安全漏洞与风险。

描述

测试执行人员针对系统特征分析测试要点，结合常见安全检测项开展测试实施工作，尝试发现应用的安全漏洞和风险。

步骤

1. 访问被测Web应用的功能，确认应用功能正常。

2. 分析系统特征，结合常见安全漏洞开展针对性测试。

1) 认证类：如弱口令、暴力破解等认证相关漏洞，一般攻击面在注册、登录、修改密码和重置密码等功能。

2) 授权类：如未授权访问、越权等漏洞，各种功能均需验证是否存在此类漏洞。

3) 会话管理类：如会话登出不失效、会话漏洞、跨站请求伪造等，应用的会话机制，会话令牌管理功能等需重点关注。

4) 输入验证类：如SQL注入、XSS、XXE等注入类漏洞，对各种输入的功能均需验证。

5) 信息泄露类：如敏感信息泄露、敏感信息弱加密、注释与备份中泄露信息，需对应用功能、页面前端代码等进行检测。

6) 命令/代码执行类：如命令执行、反序列化漏洞，需对接口的后台处理、所使用的框架组件进行检测。

7) 业务逻辑类：如支付绕过、短信炸弹、验证码失效、文件上传等漏洞，对重点业务逻辑进行检测。

8) 其他相关安全风险与漏洞的测试。

3. 编写测试结果，针对发现的漏洞，说明漏洞严重程度、漏洞位置、测试详细步骤、漏洞修复建议等信息。

4. 开发人员根据漏洞详情开展漏洞的整改。

5. 渗透测试人员进行复测，并记录复测过程。

实施要求

1. 测试充分性要求。参考《渗透测试检查基线》中各测试项的测试要点开展测试。对于不适用于本次测试的测试项在测试报告中说明，根据实际情况，如果存在其他新增测试项，在测试报告中补充。

2. 测试规范及注意事项：

1) 测试注入类漏洞，能证明可读取数据即可，如果为生产环境中测试，严禁读取生产环境表内数据。

2) 生产环境中测试，验证越权/未授权访问类漏洞时，严禁进行批量读取数据。

3) 生产环境中测试不能影响线上正常用户，不能越权增删改真实账号，需使用自行注册的账号或项目组提供的测试帐号开展测试。

4) 生产环境中测试存储型XSS漏洞，应使用不影响其他用户的测试payload。

5) 生产环境中测试，如果可以执行shell或者命令执行，推荐上传一个文本证明，如纯文本的1.php、1.jsp等证明问题存在即可。

6) 生产环境中短信/邮件使用内部账号，测试环境中的短信/邮件功能如果会真实发送短信/邮件，也需使用内部账号。

7) 生产环境禁止使用扫描器。

8) 禁止使用社会工程学开展内部测试，禁止开展DOS攻击测试。

3. 测试结果漏洞命名定级规范，参照《银行互联网渗透测试指南》（JR/T0232—2021）中银行互联网渗透测试漏洞风险定级参考开展定级。