WSAR Tech测试范围
Web 应用安全测试（WAST）
- 覆盖 OWASP Top 10（2021）
- 认证、会话与访问控制测试
- 注入、配置错误与业务逻辑审查
API 安全测试
- REST 与 GraphQL 接口审查
- 授权、限流与输入校验检查
- 令牌与会话处理（含 JWT）
移动应用渗透测试
- 客户端存储与数据处理
- 传输安全与证书处理
- API 与后端交互审查
源代码审计 / 安全代码审查
- 对关键路径进行安全代码审查
- 攻击面分析
- 修复建议定位到具体代码位置
项目流程
- 范围与书面授权以书面形式确定具体测试目标。未经授权，我们不测试任何系统。
- 评估结合人工与工具，按 OWASP Top 10 及您的风险重点进行测试。
- 报告出具漏洞评估报告，含 CVSS 3.1 评分、通俗易懂的影响说明与修复建议。
- 复测修复后验证问题是否已解决。
服务涵盖
- Web 应用安全测试（WAST）
- 移动应用渗透测试
- API 安全测试
- 源代码审计 / 安全代码审查
- 攻击面分析
- OWASP Top 10 覆盖
- 含 CVSS 评分与修复建议的漏洞评估报告
我们的原则
仅限授权测试。我们只在限定范围与书面授权下，测试您拥有或明确授权的系统；未经许可不测试任何第三方系统。可在练习作品集查看我们的实践记录。
常见问题
你们只测试获得授权的系统吗？
是的。我们只在限定范围与书面授权下，测试您拥有或明确授权的系统；未经许可不测试任何第三方系统。
报告包含哪些内容？
漏洞评估报告会把每个发现对应到 OWASP Top 10，给出 CVSS 3.1 严重等级、通俗的影响说明、受影响区域与修复建议；修复后我们会复测。
作品集里的条目是真实客户项目吗？
不是。我们公开的作品集只来自本机运行的"故意留洞"练习靶场（OWASP Juice Shop 与 DVWA），属授权练习。我们绝不公开客户的测试结果。
你们能测试哪些对象？
Web 应用、API（REST 与 GraphQL）、移动应用，以及源代码审计与攻击面分析。