Web应用渗透测试

我们正在推出一个处理用户账户、支付和上传文档的Web应用，在向公众开放之前，我们希望进行一次独立的安全检查。我们的开发人员遵循了良好的实践，但他们对代码非常熟悉，可能会有盲点。我们需要一个专家从攻击者的角度审视应用，并诚实地告诉我们哪里可能被攻破。

范围是对Web层的基本渗透测试：身份验证和会话处理、用户角色之间的访问控制、输入验证，以及常见的漏洞，如注入、跨站脚本、不安全的直接对象引用和文件上传弱点。我们可以提供不同权限级别的测试账户和一个暂存副本，以确保不会接触到实时客户数据。我们还希望快速查看安全头、Cookie标志和密码重置流程。

最重要的交付物是报告。我们不希望得到原始扫描器的输出；我们希望每个发现都用简单的语言描述其严重性、被利用的具体示例、潜在影响，以及明确的修复建议。理想情况下，管理层需要一份简短的执行摘要，开发人员需要一份技术部分。请告诉我们您的方法论、大致工作所需时间，以及您如何负责任地处理敏感发现。