凭据管理要点
凭据管理要点
1. 专用扫描账号：独立于个人与业务账号，命名可识别（如 scan_audit）
2. 最小权限：只读权限优先，禁止数据库写权限与系统管理组
3. 生命周期：扫描窗口内启用，结束后禁用或轮换
4. 存储：扫描平台加密保存，禁止写入扫描命令历史与工单正文命令层面的注意
命令层面的注意
# 避免凭据进入 shell 历史与进程列表
# 优先使用凭据文件或环境变量注入（见工具官方支持方式）
# 示例：nuclei -H 'Cookie: session=...' 仅限实验环境；生产用受控凭据文件扫描器流量里的凭据等同于账号口令：扫描日志、代理抓包文件都要按敏感数据处理。