概览
Web 应用渗透测试是一项手动且获得授权的评估，通过模拟针对 Web 应用及其 API 的真实攻击，发现可被利用的漏洞，例如注入、访问控制绕过和身份验证缺陷。我们的测试人员超越自动化扫描，将多个弱点串联起来，证明其业务影响，并提供按优先级排序、可供开发者直接使用的修复方案。这些弱点可能暴露敏感的业务、客户、身份验证和财务数据，因此测试重点关注最有可能导致系统被攻陷的缺陷。
方法论与标准
OWASP WSTG v4.2、OWASP Top 10（2021）、OWASP ASVS 以及 OWASP API Security Top 10，并以 PTES 和 NIST SP 800-115 为框架。Burp Suite Pro 辅以手动验证，可消除误报。
包含内容
覆盖所有 WSTG 类别的已认证与未认证测试
业务逻辑与访问控制测试，而不仅仅是扫描
手动利用与攻击链构建，并附概念验证
依据 OWASP API Top 10 的 API 安全测试
身份验证测试
会话管理测试
输入验证测试
您将获得
执行摘要与技术报告，结果按 CVSS 评分
复现步骤与概念验证
按优先级排序、可供开发者直接使用的修复建议
免费的修复复测以及面向客户或审计方的认证函
风险优先级排序与以合规为导向的报告
对齐 OWASP高管报告整改指导包含复测鉴证函杜绝扫描器堆砌
常见问题
不是。自动化工具只是起点。我们的测试人员会手动验证每一个问题，消除误报，并将低危缺陷串联成扫描器无法发现的真实攻击路径。您获得的是可被利用的证据，而不是一份充满噪声的工具报告。
我们会提前商定测试规则，并优先在镜像的预发布环境中进行破坏性验证。生产环境测试受到限制并经过排期，以避免造成干扰，整个测试过程中保持实时联络渠道。
可以。所有已报告结果的修复复测均包含在内，我们还会出具一份更新后的认证函，确认修复已经过独立验证。
典型评估包括身份验证、授权、会话管理、输入验证、业务逻辑、错误处理以及 API 安全控制。