| 前提 | 书面授权、范围清单、时间窗口、应急联系人 |
|---|---|
| 类型 | 黑盒/灰盒/白盒、内网/外网、红队演练 |
| 闭环 | 报告 → 修复 → 复测 → 复测报告 |
授权书要点示例
授权书要点示例
范围：example.com 及指定 IP 段
禁止：拒绝服务、社工、碰真实用户数据
窗口：周六 0:00-6:00
应急：发现影响立即停止并联系 XXX渗透测试与安全评估
渗透测试以授权方式模拟攻击验证防护效果：需书面授权范围与时间窗，测试后提交报告与修复建议，修复后复测；测试过程避免影响生产与真实数据。
易错点
- 无授权测试：法律风险，甚至被当作真实攻击处置
- 测完不修：报告归档，同类漏洞下轮再现
数据来源与参考
- 渗透测试执行标准（如 PTES）
- 网络安全合规公开实践