渗透测试修复工作流

目标

渗透测试发现应按真实可利用性修复并复测确认。本工作流按利用难度与影响排序而非仅看 CVSS，优先修复最易被利用的发现并尽量补测试，进一步修复同类问题而非单点，最后由测试方复测确认利用不再有效。

步骤要点

1. 按利用难度与影响对发现排序。
2. 优先修复最易利用的发现并补测试。
3. 修复问题类别而非单点。
4. 复测确认利用不再有效。

# retest a previously exploitable endpoint
curl -s -o /dev/null -w '%{http_code}' https://app.example.com/admin || echo blocked

验证

按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。

排错提示

• 只看 CVSS 会忽略更易利用的高影响路径。
• 只修单点会留下同类问题。
• 不复测等于假定而非证明。

适用边界

• 需要渗透报告与复测能力。
• 按可利用性排序修复。