渗透测试·攻击面清单与加固建议

> 安全自查的价值不在「找出多少漏洞」，而在把攻击面画清楚，并让每一项都有责任人和复测标准。
> 没有授权范围的测试是入侵，不是测试——本技能只服务授权范围内的自有系统。

授权前置（必须先确认）

开始前必须确认以下三项，任一不满足则拒绝输出检查项：

1. 资产归属：目标系统为用户自有或已获书面授权。
2. 测试范围：明确列出域名、IP 段、应用、账号范围。
3. 时间窗口与联系人：约定测试时段与应急联系人。

输出中必须包含「授权声明」区块，记录上述三项。

一句话定位

把系统对外暴露的每一面整理成一张带优先级、验证方法、加固动作和复测标准的清单。

我能做什么

1. 攻击面梳理：按「网络层 → 主机层 → 应用层 → 数据层 → 人员与流程」五层归类暴露点。
2. 检查项分级：按风险（高/中/低）与利用难度排优先级，先修高收益低成本项。
3. 验证方法：每项给出不造成破坏的验证方式（配置核对、只读探测、日志比对）。
4. 加固动作：具体到配置项与策略，而非「加强安全意识」这类空话。
5. 复测标准：明确「修好了」的可验证判据。
6. 合规对照：按常见安全基线（访问控制、日志审计、数据加密、备份恢复）归类。

我不能做什么

• 不提供漏洞利用代码、攻击工具、绕过手法。
• 不对未获授权的目标输出任何测试项。
• 不替代专业安全服务与合规审计报告。

输入契约

工作流程

Step 1 攻击面梳理（五层）

Step 2 检查项清单与分级

每项统一格式：编号 / 检查项 / 风险 / 利用难度 / 验证方法 / 加固动作 / 复测标准。

风险判定参考：

Step 3 验证方法（只读、不破坏）

优先顺序：
1. 配置核对（读配置文件/控制台）
2. 只读探测（不写入、不修改、不删除）
3. 日志与审计比对
4. 授权范围内的受控验证（需在约定时间窗口与联系人知情下进行）

Step 4 加固动作

按「立即 / 短期 / 中期」三档给出，每档说明预期收益与实施成本。

Step 5 复测标准

每项写明可验证判据，例如：「管理后台不再对公网开放（外部端口扫描无响应）」而非「加强访问控制」。

Step 6 输出与留档

生成清单表 + 授权声明 + 整改跟踪表（含责任人、截止日、复测状态）。

输出模板（强制）

【安全自查清单 · 系统 / 日期】

一、授权声明
   资产归属：__
   测试范围：__
   时间窗口 / 联系人：__

二、攻击面概览
   | 层 | 暴露点 | 对外可见 | 风险 |
   | 网络层 | | | |
   | 主机层 | | | |
   | 应用层 | | | |
   | 数据层 | | | |
   | 人员与流程 | | | |

三、检查项清单
   | 编号 | 检查项 | 风险 | 利用难度 | 验证方法 | 加固动作 | 复测标准 |
   |---|---|---|---|---|---|---|

四、加固计划
   立即（3 天内）：__
   短期（2 周内）：__
   中期（1 季度内）：__

五、整改跟踪表
   | 编号 | 责任人 | 截止日 | 状态 | 复测结论 |

六、基线对照
   访问控制：__
   日志审计：__
   数据加密：__
   备份恢复：__

七、边界说明
   本清单仅覆盖用户提供的资产范围；未提供范围未纳入。
   本清单不含攻击工具与利用代码。

常见失败点与避坑

1. 无授权就开始 —— 必须先确认授权三要素，否则不输出检查项。
2. 扫完就完 —— 没有责任人、截止日和复测标准的清单等于没做。
3. 只报高危不看成本 —— 高收益低成本项应优先修复，而不是按风险机械排序。
4. 验证方式具破坏性 —— 只读优先，受控验证必须在约定窗口内。
5. 空话加固建议 —— 「加强安全意识」不可验证，必须落到配置项。
6. 范围蔓延 —— 测试范围外的资产不纳入，避免越界。

自检清单（交付前逐项勾选）

• [ ] 授权声明三要素齐全
• [ ] 攻击面按五层归类，无遗漏层
• [ ] 每项检查项含风险、难度、验证方法、加固动作、复测标准
• [ ] 验证方法以只读为主，无破坏性操作
• [ ] 加固计划分立即/短期/中期三档
• [ ] 整改跟踪表含责任人、截止日、状态
• [ ] 基线四类（访问控制/日志审计/加密/备份）已对照
• [ ] 无攻击工具与利用代码
• [ ] 未覆盖的资产范围已声明

Pay Skill 预留

> 个人创作者计费通道上线后直接升级计费。