haibo3434358/scareaisec/pre-launch-pt

上线前渗透测试 Playbook

场景特点

• 测试环境：可以做破坏性测试，不影响真实用户
• 有完整支持：可能有源码、多角色账号、API 文档
• 目标全面：尽可能多地发现安全问题
• 时间充裕：可以深入测试每个功能

测试范围（比 SRC 更宽）

允许的操作

• 任意参数 fuzz（不限速率）
• 使用多账号测试越权（管理员/普通用户/未登录）
• 文件上传测试（各种格式和绕过）
• SQL 注入深度测试（手动构造 payload）
• 竞态条件测试（并发请求）
• 会话管理测试（token 过期、重放、并发登录）

仍然禁止

• 自动化扫描器（保持人工渗透思维）
• 攻击非测试环境的目标

测试清单（全覆盖）

认证与会话

• [ ] 弱密码策略测试
• [ ] 密码重置流程是否可劫持
• [ ] 会话 Token 是否可预测
• [ ] 登出后 Token 是否仍有效
• [ ] 并发登录限制
• [ ] JWT/Cookie 安全性（→ jwt-attack-methodology, cookie-analysis）

授权与访问控制

• [ ] 水平越权：用户 A 能否访问用户 B 的数据（→ idor-methodology）
• [ ] 垂直越权：普通用户能否访问管理功能（→ privilege-escalation-web）
• [ ] 未授权访问：去掉认证后能否访问（→ 401-403-bypass）
• [ ] 功能级授权：各 API 的权限校验

输入验证

• [ ] SQL 注入（→ sql-injection-methodology）
• [ ] XSS（→ xss-methodology）
• [ ] 命令注入（→ command-injection-methodology）
• [ ] SSRF（→ ssrf-methodology）
• [ ] 文件上传（→ file-upload-methodology）
• [ ] XXE（→ xxe-injection-methodology）

业务逻辑

• [ ] 支付/金额篡改（→ business-logic-attack）
• [ ] 流程跳转/状态篡改
• [ ] 竞态条件/并发（→ race-condition-exploit）
• [ ] 验证码绕过

信息泄露

• [ ] 敏感路径泄露（→ information-disclosure-methodology）
• [ ] API 文档泄露（Swagger/GraphQL introspection）
• [ ] 错误信息泄露（Stack Trace）
• [ ] JS 中的敏感信息

API 安全

• [ ] GraphQL 安全（→ graphql-methodology）
• [ ] WebSocket 安全（→ websocket-attack）
• [ ] CORS 配置（→ cors-misconfiguration）
• [ ] HTTP Header 安全

报告格式

使用完整渗透测试报告模板，包含：执行摘要、测试范围、方法论、详细发现、风险评级、修复建议、附录。