手工核验的定位
代理工具（Burp、ZAP 的手工模式）适合对扫描结果做二次确认和逻辑类核查：拦截请求、修改参数、观察响应，以此验证越权、状态机绕过、参数篡改这类自动扫描难以判断的问题。前提是在授权范围内操作，并且全程的会话数据与历史记录都按敏感信息管理。
基本信息
| 适用 | 逻辑漏洞、越权、状态机类问题的确认 |
|---|---|
| 不适用 | 大规模资产枚举，这类工作交给扫描器 |
| 前置工作 | 导入代理证书，仅限测试浏览器或测试设备 |
| 授权边界 | 仅限授权目标，不得对第三方系统发起请求 |
| 痕迹管理 | 历史记录与导出文件按敏感数据管理 |
| 收尾动作 | 删除代理证书与历史文件，恢复测试机环境 |
核验环节与要点
| 环节 | 做法 | 要点 |
|---|---|---|
| 证书导入 | 仅在测试浏览器或设备导入 | 用完删除，不要装到日常浏览器 |
| 请求抓取 | 抓取目标关键请求 | 标记需要核验的扫描命中 |
| 复放与变形 | 逐条复放并修改参数，观察响应差异 | 控制请求量，避免影响业务 |
| 证据记录 | 原始请求、响应片段、结论 | 保留可复现的最小证据 |
| 清理 | 删除证书与历史文件 | 含敏感数据不可随意外传 |
核验流程
核验流程
1. 导入站点证书（仅测试浏览器或测试设备）
2. 抓取目标关键请求，标记出「需核验的扫描命中」
3. 逐条复放与参数变体测试，观察响应差异与状态码
4. 记录证据：原始请求、响应片段、结论
5. 结束时删除代理证书与历史文件（含敏感数据）典型使用场景
- 扫描命中的真伪判定与去误报
- 越权与横向访问的验证
- 业务逻辑与流程绕过的核查
- 修复后的回归验证
- 同一接口不同角色的鉴权差异对比
- 报告证据链的补充（给出可复现的最小证据）
逻辑类问题的核验要克制：只验证「是否存在」，不遍历真实用户数据，取一条最小可用证据即可，避免把测试变成数据泄露。
为方便核验把代理证书装进日常浏览器，后续所有流量都可被本地解密，等于给自己开了一个长期监听通道，用完必须删除并确认系统信任库已清理。