使用 OWASP Top 10 方法进行 Web 应用程序渗透测试

我们正在准备推出一个将处理敏感用户数据的网络应用程序，在投入生产之前，我们需要来自外部专家的独立安全评估。这不是关于一般的服务器加固或防火墙设置——我们需要对应用程序本身进行有针对性的渗透测试，覆盖完整的 OWASP 前 10 名列表：注入、破损的身份验证和会话管理、破损的访问控制、跨站脚本、不安全的直接对象引用、安全配置错误、敏感数据暴露以及其他类别。对我们来说，测试者像真正的攻击者一样思考并以对手的方式检查应用程序是很重要的。

这项工作应结合手动测试和扫描工具，因为仅靠自动化会遗漏逻辑错误和授权缺陷。我们将提供一个测试环境、两个或三个具有不同权限级别的账户，以及主要场景的简要概述。作为回报，我们期待一份清晰的书面报告：每个发现都应描述重现步骤、严重性级别（例如，通过 CVSS）、实际影响以及我们的开发人员可以使用的实际修复建议。我们要求您将确认的漏洞与低信心的观察结果分开，以便我们能够正确优先处理。

在我们处理完发现的问题后，我们需要进行重新测试：以确认每个项目确实已修复，并且没有出现新的问题。保密性是必须的——所有发现的内容严格保留在我们之间，我们系统中的数据不会被复制到任何地方。请描述您的方法论、遵循的标准，以及审计的预计时间表，包括重新测试。

对我们来说最重要的是：
— 完整的OWASP前10名覆盖，包括手动工作和自动化
— 包含严重性级别和修复建议的报告
— 强制重新测试以确认修复