未授权漏洞受控检测最佳实践

“未授权漏洞”里的“未授权”，通常指攻击者不需要登录就可能触发漏洞，不是说检测人员可以跳过资产所有方的许可。我会先把这两个概念分开：即便只是访问公开页面，只要目的是验证漏洞，也应先取得书面授权，明确目标、测试时段、允许的验证深度，以及出现异常时找谁中止测试。

拿页面参数可能引发路径遍历、本地文件包含的情况来说，我不会一上来就尝试读取敏感文件。更稳妥的做法是先在隔离环境中摸清正常响应，再在授权目标上选择已知存在、没有敏感内容和副作用的文件做最小化对照。观察到稳定差异后，还要排除缓存、页面模板变化等干扰；证据足以支持判断，就该停手。能够确认文件包含，不等于已经证明远程代码执行，更不能为了把风险“坐实”而擅自写文件或运行命令。

我更看重证据能否让别人复核，而不是测试过程有多刺激。记录目标与授权范围、测试时间、环境前提、请求和响应差异，同时避免在报告里留下凭据明文。如果确有必要验证会产生写入的链式影响，必须事先单独获准，约定清理方式；任何异常出现时立即中止并通知对接人。

整改后，仍用同一套低影响方法复测，确认原先的命中特征消失，并检查业务功能是否正常。对我来说，受控检测的边界很清楚：证明问题存在，说明影响取决于哪些条件，然后把现场完整、干净地交还给维护人员。