网站渗透测试与漏洞修复怎么验收：6 步流程与清单

渗透测试前要确认什么

先确认授权范围与规则，再开始测试。测试前需书面明确：被测域名与 IP 清单、允许的时间窗口、禁止的操作（如数据删除、拒绝服务）、应急联系人。据我们项目经验，范围没写清是后期争议的主要来源，通常表现为测试方触碰了不在清单内的业务系统。

结论：把范围、窗口、禁止项、联系人四项写成一页确认书，双方留存。

漏洞分级怎么定

• 高危：可直接获取服务器权限、批量数据泄露、越权访问他人数据。
• 中危：需一定条件才能利用，如后台弱口令、特定场景的存储型 XSS。
• 低危：信息泄露、缺失安全响应头、版本号暴露等。
• 修复时限建议：高危一般 24 小时内处置，中危 7 天内，低危纳入下次迭代，具体以双方约定为准。

修复阶段怎么管理

1. 每条漏洞指定责任人与预计完成时间，录入台账。
2. 修复前先备份相关文件与数据库，保留回滚点。
3. 涉及框架漏洞的，优先确认官方补丁与版本要求，再安排升级。
4. 无法短期修复的，先上临时缓解措施，如 WAF 规则或访问控制。

复测要看哪些证据

复测不能只看「已修复」三个字。每条漏洞应附：修复前后的对比截图或请求响应记录、涉及的代码提交或配置变更说明、复测时间与复测人。据我们测算，带证据的复测一般能把二次返工的比例压到较低水平，也便于后续审计时还原过程。

报告与归档怎么留存

• 报告版本：初测报告、修复说明、复测报告三份分开存档。
• 留存方式：加密存放，访问需授权，含漏洞细节的文件不要放在公网可访问目录。
• 留存期限：结合行业要求与内部制度确定，具体以监管部门的现行规定为准。
• 复盘：把同类漏洞归入同一整改项，避免重复出现。

玉晗网络能提供什么

玉晗网络（安徽安庆）提供服务器运维托管与安全加固服务，包含渗透测试协调、漏洞分级、修复实施与复测留痕，同时承接网站建设、微信小程序开发与 SEO 优化。若您已拿到测试报告但不确定如何排期，可通过网站表单留下漏洞数量与类型，我们会给出一份整改排序建议。