2026-04-21 01:32:00 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文基于《信息安全技术关键信息基础设施安全测评要求》附录B整理，系统阐述了关基渗透测试的全流程检查清单。内容涵盖测试前准备、通用测试项（网络设备、操作系统、WEB/APP/C/S业务系统）、社工与无线安全、新技术扩展（云安全、物联网、工控系统）及测试后闭环管理。文档提供了可操作的技术检查点和风险等级评估方法，强调测试授权、环境隔离、高危漏洞即时通报等关键环节，为关基安全测评提供标准化参考框架。 综合评分： 85 文章分类： 渗透测试,安全建设,技术标准,漏洞分析,应急响应

cover_image

关基渗透测试检查清单文字稿

凉城凉城

ListSec

2026年4月19日 15:34 江西

在小说阅读器读本章

去阅读

关基渗透测试检查清单

之前发了两张图片，关基渗透测试基线，现在搞个文字稿，基于《信息安全技术关键信息基础设施安全测评要求（报批稿）》附录 B《渗透测试要求》整理。

一、测试前通用检查

• 明确测试目标、范围、边界、授权文件
• 确认测试环境：实网 / 仿真环境 / 桌面推演
• 确认不适合在生产环境直接验证的项目已切换到仿真或备机环境
• 明确关键业务影响面，设置中止条件
• 明确测试流程：信息收集、漏洞探测、漏洞验证、分析、报告
• 确认测试工具安全、合规，不会引入新增风险
• 确认测试后遗留账号、规则、后门、样本、脚本可清理
• 约定高危发现的即时通报机制
• 若获取管理员/系统控制权限，立即通知整改并按要求上报

二、通用测试项

1. 网络设备 / 安全设备

1.1 公开安全漏洞

• 是否存在已公开高危/中危漏洞
• 固件/版本是否过旧且存在可利用漏洞

1.2 认证 / 授权

• 是否存在默认口令
• 是否存在弱口令
• 是否存在相同口令复用
• 管理界面是否暴露在不应暴露的网络区域

1.3 配置缺陷

• 是否开放非必要端口
• 是否存在未声明功能或访问接口
• 是否存在远程调试接口未关闭
• 是否存在危险默认配置

2. 操作系统

2.1 公开安全漏洞

• 是否存在已公开漏洞且可被利用
• 补丁是否长期未更新

2.2 认证 / 授权

• 是否存在默认口令/弱口令/共用口令
• 是否存在认证绕过、权限配置不当

2.3 配置缺陷

• 是否开放非必要端口
• 是否开启不必要共享服务
• 是否因默认配置导致敏感信息泄露

3. 业务系统（WEB）

3.1 公开安全漏洞

• WEB 组件/中间件/框架/数据库/插件是否存在公开漏洞

3.2 信息泄露

• 是否存在目录遍历/目录扫描可见敏感内容
• 是否存在备份文件泄露
• 是否暴露管理后台
• 是否泄露路径、版本、报错详情
• 是否存在任意文件下载
• 是否存在明文口令传输

3.3 配置缺陷

• 是否缺失关键安全响应头
• 跨域配置是否过宽
• 是否存在不合理爬虫/访问控制配置

3.4 身份鉴别缺陷

• 是否可绕过登录或认证流程
• 是否存在未授权访问
• 是否存在越权访问
• 口令重置流程是否可被滥用
• 是否可暴力破解
• 是否可通过关键参数伪造或 IP 伪造绕过限制

3.5 逻辑设计缺陷

• 是否存在业务流程绕过
• 是否存在任意跳转/跳步骤执行
• 是否存在状态流转错误

3.6 接口调用缺陷

• 接口是否存在访问控制缺陷
• 是否可枚举对象 ID/资源 ID
• 是否存在接口暴力攻击风险

3.7 数据验证缺陷

• 关键业务数据是否可被任意篡改
• 服务端是否缺失完整性/一致性校验

3.8 综合利用 / 输入验证

• 是否存在 XSS
• 是否存在 SQL/命令/表达式等注入
• 是否存在任意文件上传
• 是否存在反序列化漏洞

4. 业务系统（APP）

4.1 公开安全漏洞

• APP 本体是否存在公开漏洞
• 第三方 SDK 是否存在公开漏洞

4.2 应用自身安全

• 是否进行了加固/混淆
• 组件（含 WeView）是否安全
• 第三方 SDK 是否安全
• 是否严格校验证书
• 敏感数据是否明文存储在本地
• 是否存在敏感信息硬编码

4.3 业务操作安全

• 口令输入保护是否充分
• 敏感信息展示是否合规

4.4 数据通信安全

• 是否存在明文传输
• 是否存在重放攻击风险
• 通信协议设计是否安全

4.5 服务端安全

• 是否同步按 WEB/系统侧要求完成测试

5. 业务系统（C/S）

5.1 公开安全漏洞

• 是否存在已公开漏洞

5.2 逆向保护

• 程序是否易被反编译/逆向
• 是否存在硬编码 key/password
• 是否可提取加解密逻辑
• 是否可绕过登录/权限判断

5.3 信息泄露

• 是否泄露敏感文件/注册表项/调试日志
• 安装包/运行目录是否包含敏感信息
• 内存中是否残留敏感数据

5.4 通信传输

• 是否存在明文传输
• TLS/SSL 是否不安全
• 是否使用 FTP/TELNET/HTTP/明文 SOCKET/明文 SQL
• 是否存在弱加密套件或不安全握手

5.5 业务操作安全

• 是否存在用户名枚举
• 是否可暴力破解/弱口令利用
• 是否存在注入、遍历、XSS、SSRF、CSRF 等问题
• 是否存在未授权/越权/命令执行
• 是否存在业务流程绕过、凭据伪造、验证码漏洞

5.6 软件安全

• 是否存在 DLL 劫持
• 是否存在堆栈溢出/格式化字符串漏洞
• 是否存在 DoS 风险
• 是否存在任意地址写或内置后门

三、社工与其他风险

1. 撞库攻击

• 是否可利用已知凭据直接登录目标系统
• 是否存在弱身份认证与异常登录防护不足

2. 钓鱼攻击

• 邮件/短信/群聊等渠道钓鱼是否有效
• 人员是否具备识别钓鱼能力
• 钓鱼后的执行链路是否可导致账号泄露或终端失陷

3. 假冒伪造

• 是否可通过冒充内部人员/客户诱导执行操作
• 是否可骗取敏感信息、验证码、口令或远程协助

四、无线安全测试

• 是否可部署钓鱼热点并诱导接入
• 无线网络是否存在弱口令
• 是否使用弱加密方式
• 是否可绕过无线安全机制
• 是否存在无线口令撞库风险

五、新技术扩展测试

1. 云计算安全（按实际采用情况选择）

1.1 云平台账号安全

• 是否存在登录信息泄露
• 是否存在账户劫持风险

1.2 云容器安全

• 是否存在容器逃逸风险
• 容器隔离是否不足

1.3 云对象存储安全

• Bucket 是否公开访问
• 是否可枚举 Bucket / Oject
• 是否存在策略配置错误
• 是否可任意上传/覆盖文件
• AccessKeyId / SecretAccessKey 是否泄露
• 是否存在 Bucket 劫持 / 子域接管风险
• 是否可修改桶策略导致服务中断
• 是否可通过对象存储篡改资源用于钓鱼
• 是否可借相关函数能力执行命令

1.4 云服务 API 安全

• API 是否存在配置错误
• API 是否存在信息泄露
• 权限边界是否清晰

2. 移动互联安全（按实际采用情况选择）

2.1 物理接入

• 无线热点是否存在未授权接入
• 是否存在认证信息破解风险
• 是否存在电磁干扰或自建无线局域网风险

2.2 移动终端

• 移动终端是否可直接攻击内网应用/数据
• 用户身份安全是否充分
• 接入安全、数据保密性、网络边界完整性是否可靠
• 是否存在用户信息泄露、病毒木马感染、算法/密钥泄露
• 是否可被反编译、动态调试、二次打包
• 是否存在业务逻辑缺陷、组件漏洞、数据漏洞、源码漏洞
• 是否存在认证短信劫持、自绘键盘监听等问题

3. 物联网安全（按实际采用情况选择）

3.1 公开安全漏洞

• 物联网设备是否存在已公开漏洞

3.2 终端安全

• 是否开放非必要端口
• 是否存在未声明功能或访问接口
• 嵌入式系统是否泄露口令、证书私钥、源码等敏感信息
• 终端接入认证、接口访问控制、抗仿造、防篡改、抗逆向能力是否不足

3.3 数据传输安全

• 是否可发起中间人攻击并篡改数据包
• 是否存在敏感信息明文传输
• 是否使用不安全加密算法
• 是否存在重放攻击风险

3.4 集权批量控制

• 是否可通过后台批量控制大量终端设备
• 是否可利用大量设备发起拒绝服务攻击

3.5 服务及应用安全

• WEB 接口是否存在漏洞
• 抗重放机制是否完善

4. 工业控制系统安全（按实际采用情况选择）

4.1 公开安全漏洞

• 工控相关设备是否存在已公开漏洞

4.2 PLC 漏洞测试（宜在备品备件环境进行）

• 是否存在中间人攻击漏洞
• 是否存在未授权修改程序/覆盖程序/远程启停
• 是否存在功能码滥用
• 是否可任意读写寄存器/线圈
• 是否存在计算逻辑漏洞
• 是否存在看门狗超时漏洞
• 是否存在缓冲区溢出

4.3 工控协议漏洞测试

• 是否存在明文传输敏感信息
• 身份认证机制是否不健全

4.4 组态软件漏洞

• 是否存在 DoS 拒绝服务
• 是否存在缓冲区溢出
• 是否存在 COM 服务组件未授权访问
• 是否存在 SQL 注入

4.5 WEB 接口漏洞

• 是否已按通用 WEB 测试项完成验证

六、测试后检查

• 已记录所有发现的问题、影响范围、利用条件、复现路径
• 已区分高危/中危/低危问题
• 已对关键高危问题建立即时通报记录
• 已清理测试账号、后门、脚本、样本、临时策略
• 已确认未对生产业务造成持续影响
• 已形成渗透测试报告
• 报告包含整改建议、修复优先级、复测建议

七、建议的结果标记方式

可在每项后补充：

• 结果：通过 / 不通过 / 不适用
• 风险等级：高 / 中 / 低
• 证据：截图 / 日志 / 流量 / 命令输出 / 复现步骤
• 整改建议：立即 / 短期 / 中期

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：ListSec 凉城凉城《关基渗透测试检查清单文字稿》