人工渗透测试

去年秋天，人工我帮一家做跨境电商的渗透朋友看他们刚上线的支付系统。代码写得挺规整，测试WAF也挂了，人工扫描器跑了一遍没报高危。渗透但我用Burp Suite手动试了二十分钟，测试就在优惠券兑换接口里发现了一个IDOR——把订单号从自己订单改成别人的人工，直接能看到对方收货地址和手机号。渗透扫描器没发现，测试因为它不关心“这个参数换成别的人工值会怎样”。这就是渗透人工渗透测试和自动化扫描的根本区别：工具找已知模式的漏洞，人找逻辑上的测试裂缝。

人工渗透测试的人工核心不是“用工具”，而是渗透“像攻击者一样思考”。工具能告诉你某个端口开了、测试某个组件版本旧了，但它不知道业务逻辑里“先领券再下单”和“先下单再领券”的金额计算差异。我见过一个真实案例：某平台退款接口在并发请求下会重复退款，自动化工具根本不会去测这个，因为需要理解“退款金额校验”和“订单状态更新”之间的时间窗口。人工测试员会盯着这个窗口，构造并发请求，然后看着余额多出来。

具体怎么做？通常分几个阶段，但别指望有标准流程。信息收集阶段，我会先手动点一遍所有功能，用浏览器开发者工具看每个请求的参数、Cookie、Token。有时候一个不起眼的debug=1参数就能打开调试接口。接着是漏洞挖掘，这里没有固定顺序——看到搜索框就试SQL注入和XSS，看到文件上传就试绕过，看到用户ID就试越权。但更重要的是“业务流测试”：把下单流程拆成十几步，每一步都尝试跳过、重放、篡改参数。比如把“支付成功”的回调请求直接重放，看订单状态会不会变成已支付。

工具在这个过程里是辅助。Burp Suite的Repeater用来反复调参数，Intruder跑字典，但真正发现漏洞的是人脑。我习惯用Postman把关键请求存成集合，然后手动改JSON里的字段——把"amount": 100改成"amount": -100，看系统会不会倒扣钱。这种测试自动化工具做不了，因为负数的语义只有人懂。

有个细节值得说：人工渗透测试的产出不是一份“漏洞列表”，而是一条攻击链。比如从“未授权访问用户信息”到“批量获取手机号”，再到“撞库登录”，最后“修改提现账户”。每一步单独看可能只是中危，串起来就是严重风险。报告里我会写清楚复现步骤，附上请求和响应截图，但不会写“建议加强安全意识”这种废话——直接说“在/api/v1/user/{ id}接口增加服务端权限校验，禁止通过修改URL中的id访问他人数据”。

成本方面，人工测试确实比跑扫描器贵。一个中等复杂度的Web应用，完整测一遍大概需要3到5人天。但比起数据泄露后的公关和赔偿，这笔钱花得值。我见过太多公司买了扫描器就以为安全了，结果被一个简单的越权漏洞打穿。工具会告诉你“这里可能有问题”，人会告诉你“这里怎么利用，能拿到什么”。

最后说个观察：很多开发人员觉得渗透测试是来找茬的。其实不是。我每次测完都会和开发一起过一遍漏洞，解释为什么会产生、怎么修。有一次一个后端工程师看完我演示的越权后说：“原来前端隐藏了按钮根本没用。”对，这就是人工渗透测试的另一个价值——它让团队真正理解安全边界在哪里，而不是依赖工具给的虚假安全感。

很赞哦!（7）