渗透测试方法

最后更新：2026年10月14日。

本页说明我们如何测试您系统的安全性，从最初的约定到复测。

测试开始之前

• 书面的测试范围。 我们共同确定哪些地址、应用和服务器可以测试，哪些完全不能触碰。
• 书面授权，由对这些系统有权限的一方签署。如果系统运行在第三方服务上（云、主机或SaaS应用），我们会确保测试符合该服务商的规定。
• 测试规则。 测试时间安排、双方的紧急联系人、我们用于测试的IP地址，以及禁止进行的操作。
• 保密协议，在我们接触您的系统之前签署。

这四项缺一不可，否则测试不会开始。

我们采用的标准

• Web应用和API： OWASP Web安全测试指南和OWASP Top 10。我们测试身份验证、访问权限、业务逻辑、输入处理和配置。
• 基础设施和网络： 梳理对外开放的服务，检查配置和安全更新，然后对风险最高的部分进行人工测试。
• 每项发现的严重程度按CVSS评定，并用通俗易懂的语言说明它对您业务的影响。

自动化工具只起辅助作用。每项发现都经过人工核实和验证，所以您的报告不会充满误报。

测试期间

• 我们只测试范围内的内容，并且只从事先告知您的IP地址发起测试。
• 测试的设计以保证您的业务正常运行为前提：不进行以让系统宕机为目的的攻击，不删除或修改真实数据。如果某个步骤存在风险，我们会先征求您的同意。
• 如果发现严重漏洞，例如客户数据任何人都能打开，我们会立即通知您，而不是等到最终报告。
• 如果发现您的系统已经被他人入侵过的迹象，我们会停止该部分的测试并立即告知您。

您的数据

• 测试中看到的数据只用于证明漏洞存在。我们只取必要的部分，例如一个样本而不是整个数据库，并在报告中对样本进行脱敏处理。
• 所有测试数据和证据（数据样本、截图和工具输出）最迟在复测完成后30天内删除。最终报告会加密保存一年，作为下次测试的参考，除非您要求我们提前删除。
• 我们从不公布关于您系统的发现。我们公开的研究只来自我们自己的网站，以及已经正式公布的漏洞。

报告内容

• 管理层摘要： 主要风险和修复优先级，不堆砌技术术语。
• 发现清单，按风险从高到低排列。每项发现包括严重程度、对业务的影响、复现步骤和修复方法。
• 已经做得好的部分也会记录，让您知道哪些地方无需改动。
• 报告提供印尼语或英语版本。

复测

您修复漏洞后，我们会在交付报告后的60天内，对相同的发现免费复测一次。结果会补充到报告中，让您有漏洞已经修复的记录。

我们不做的事

• 未经书面授权，或超出约定范围进行测试。
• 以让系统宕机为目的的攻击（DoS）。
• 针对您员工的社会工程，例如钓鱼邮件或冒充电话。这目前不在我们的服务范围内。
• 保存、出售或分享您的数据。

咨询

想知道测试是否适合您的系统？请通过联系页面与我们联系。如果您在我们自己的网站上发现安全漏洞，请发送邮件至security@digimasi.com。