跳到主要内容
VexaroSecurity
Web 应用渗透测试

Web 应用渗透测试

对您的 Web 应用发起一次受控、以人工为主的攻击，方式与真实攻击者无异。我们对照 OWASP Web Security Testing Guide 确定覆盖范围，依据 OWASP ASVS 验证各项控制措施，并串联出扫描器会遗漏的真实、可利用的攻击路径。

范围

我们测试什么

覆盖范围以 OWASP Web Security Testing Guide（WSTG v4.2）为基础，其第 4 章定义了十二个测试类别，从认证、授权到业务逻辑与客户端。我们会按您的风险与保障目标调整测试深度，可采用黑盒、灰盒或白盒模式。

通常范围
  • 认证、会话管理与授权（失效的访问控制）
  • 注入、输入校验与不安全的反序列化
  • 业务逻辑缺陷与不安全的设计
  • 加密失误与传输安全
  • 安全配置错误与暴露的错误处理
  • 客户端问题（XSS、DOM、postMessage）与 API 接触面
我们如何工作

以人工为主的方法论

自动化工具有助于扩大覆盖面，但 ASVS 自身也指出，工具无法验证较为复杂的要求，也无法验证与业务逻辑和访问控制相关的要求。我们以人工测试为主、以工具为辅，遵循一套结构化的项目流程。

  1. 1

    范围界定与交战规则

    我们就边界、威胁模型、账户与测试时间窗达成一致，并在任何访问之前签署保密协议。

  2. 2

    测绘与枚举

    我们对应用及其角色与入口点进行测绘，从而规划由 WSTG 驱动、覆盖每一处可达面的测试。

  3. 3

    人工测试

    我们逐项人工测试各 WSTG 类别：认证、授权、注入、业务逻辑等。

  4. 4

    利用与串联

    我们以概念验证确认影响，并将单独看来轻微的问题串联成贴近实战的攻击路径。

  5. 5

    报告与免费复测

    您将获得一份按优先级排序的报告；在您完成整改后，我们将在 SoW 约定的时间窗口内对已修复的问题进行免费复测。

交付物

您将获得

与我们的示例报告同等的交付深度：一份执行摘要，外加每一项发现的完整条目，所附引用均对照公认标准，使覆盖范围可供审核。

您将获得
  • 面向决策者的执行摘要与整体风险态势
  • 每项发现：描述、影响、证据、复现步骤与整改方案
  • 以 CVSS 3.1 评定严重等级，并转化为业务风险
  • 引用 CWE、对应的 WSTG 测试编号以及相关的 ASVS 要求
  • 以 OWASP Top 10 2025 风险类别为框架呈现各项发现
  • 在 SoW 约定的时间窗口内对已整改问题的免费复测，结果记入更新后的报告或复测摘要
方法论与标准

立足于公认的 Web 安全标准

OWASP WSTG v4.2OWASP ASVS 5.0OWASP Top 10 2025PTESCVSS 3.1CWE

我们对照 OWASP WSTG v4.2 编制覆盖范围，并依据 OWASP ASVS 5.0.0 进行验证；请注意 ASVS 5.0 重新定义了 Level 1，因此我们按风险来选择验证等级，而不会将 L1 视为黑盒过关。风险以 OWASP Top 10 2025 为框架呈现，发现则以 CVSS 3.1 评分（FIRST 亦发布了 v4.0；我们会在每项发现上注明所采用的版本）。

测试您的 Web 应用.

向我们介绍该应用及您的目标。我们将建议合适的范围与深度，与您共同商定规则，并在保密协议下交付报告。首次咨询免费。