工具的使用边界
工具只能用于授权目标，这不是操作习惯问题而是合法性问题：扫描器保留上一次的目标列表、代理默认开启主动扫描、自动化框架加载了利用模块，都可能让一个常规测试动作越过范围。可控的做法是给工具同时设置目标白名单与动作用白名单，并且所有工具输出都必须经人工复核后才写入报告。
基本信息
| 目标白名单 | 所有工具统一指向授权目标清单 |
|---|---|
| 动作白名单 | 关闭自动利用与批量提交类模块 |
| 输出处理 | 工具结果人工复现后确认，不直接当结论 |
| 配置管理 | 保存项目专用配置，禁止复用旧项目配置 |
| 记录要求 | 工具名称、版本与用途记入报告附录 |
典型使用场景
- 批量扫描前先清空历史目标，逐项核对授权清单
- 代理工具关闭主动扫描与自动攻击插件，只做手动验证
- 漏洞扫描器关闭自动利用与批量提交功能
- 爬虫类工具设置深度与速率上限，避开注销类接口
- 临时脚本执行前先做小样本验证，确认不会造成变更
配置纪律
配置纪律
# 扫描器：目标只填授权清单，禁止保留历史项目配置
# Web 代理：关闭主动扫描的自动攻击插件与批量提交
# 爬虫：设深度与速率上限，排除注销、支付、删除类接口
# 自动化脚本：先小样本验证，确认无变更类副作用再扩大
# 结果处理：人工复现后确认影响，再写入报告风险动作与替代做法
| 风险动作 | 后果 | 替代做法 |
|---|---|---|
| 扫描器保留历史目标 | 扫描范围外资产 | 每次清空目标并逐项核对清单 |
| 开启自动利用模块 | 触发数据变更或服务异常 | 关闭自动利用，改为手动最小验证 |
| 工具输出直接入报告 | 误报进入交付物 | 人工复现后再定级与描述 |
| 复用旧项目配置 | 误扫其他客户资产 | 按项目新建独立配置与工作目录 |
工具的自动利用功能永远不要对着生产环境打开：自动化带来的效率收益远小于越界与业务影响的风险。
工具输出只是线索：报告中的每条结论都应当有对应的复现过程与证据。