七个阶段

先分清白盒和黑盒

白盒是给源码、给账号、给架构图，重点在审计和验证。黑盒只给一个入口，模拟外部攻击者，重点在暴露面和推理。

多数项目是灰盒：给一个测试账号，源码不给。这种情况最尴尬——有账号能进后台，但不知道代码怎么写的，只能靠行为反推。手册后面的内容默认按灰盒写，黑盒把「有账号」这一条去掉即可。

七个阶段

阶段	要回答的问题	产出
一 授权与范围	我能动什么，不能动什么	授权书、范围清单、时间窗
二 信息收集	外面能看见什么	资产表、暴露面清单
三 漏洞验证	哪些是能复现的	可复现的问题列表
四 权限获取	能走到哪一步	从入口到权限的完整链路
五 影响证明	最坏情况是什么	影响描述，不夸大不缩小
六 报告	怎么让对方能修	报告 + 修复优先级
七 复测	修好了没有	复测结论

阶段之间是有依赖的。信息收集没做完就去跑扫描器，结果是一堆误报；漏洞没验证就去写报告，客户复现不了，下一轮就不信你了。

最常被跳过的是第五阶段

前三阶段大家都熟，第四阶段是技术活，第六阶段是体力活。第五阶段最容易被糊掉——找到一个 SQL 注入，写「可导致数据库数据泄露」，交差。

但客户真正想知道的不是「有注入」，是「这个注入点所在的库，是不是存着客户手机号的那个库」「是不是能读到其他租户的数据」。这两个问题的答案，决定了这件事是 P2 还是 P0。

影响证明不需要真把数据拖下来。看表结构、看字段名、看一条脱敏样本，够了。多拖一条都是在给自己找麻烦。

关于「痕迹清除」

存档资料里有一版流程，把权限维持和痕迹清除也列进了阶段。那是红队视角，不是渗透测试视角。

授权测试的核心是留痕，不是清痕。你做的每一步都要能对上时间、对上日志，客户的安全团队事后要能从日志里把你的动作捞出来——这本身就是测试的一部分：如果他们的日志里捞不到你，那是他们要修的另一个问题。

清日志、删后门、隐藏账号，这三件事在授权测试里一次都不要做。做了，你从「受雇的测试者」变成「无法自证的行为人」，性质完全不同。

关于时间

一个中型 Web 系统的黑盒测试，五到八个工作日比较现实。少于三天，基本只能跑扫描器加人工验证高危项，报告里的覆盖面要写清楚。

赶工期的项目我一般会砍范围，不砍深度。砍范围是双方都知情的选择，砍深度是自己在报告里埋雷。

参考

• 《一次完整的渗透测试流程》，CSDN，xie1997.blog.csdn.net