核验流程
核验流程
1. 导入站点证书（仅测试浏览器/测试设备）
2. 抓取目标关键请求，标记出『需核验的扫描命中』
3. 逐条复放与参数变体测试，观察响应差异与状态码
4. 记录证据：原始请求、响应片段、结论
5. 结束时删除代理证书与历史文件（含敏感数据）| 适用 | 逻辑漏洞、越权、状态机类问题的确认 |
|---|---|
| 限制 | 仅限授权目标；不得对第三方系统做任何请求 |
| 痕迹管理 | 历史记录按敏感数据管理，不得随意外传 |
逻辑类问题的核验要克制：只验证『是否存在』，不遍历真实用户数据。
代理工具做手工核验的正确姿势
代理工具（Burp/ZAP 手工模式）适合对扫描结果做二次确认与逻辑类核查：拦截请求→修改参数→观察响应，全程在授权范围内进行。
易错点
- 为方便核验把代理证书装进了日常浏览器，后续所有流量可被本地解密
数据来源与参考
- PortSwigger 文档（Proxy 基础用法）
- OWASP WSTG（业务逻辑测试方法）