渗透测试方法论与实战流程：PTES、OSSTMM、信息收集到报告输出全流程
| 阶段 | 核心活动 | 关键产出 / 交付物 | 面试高频关联追问 |
|---|---|---|---|
| 1. 前期交互 | 确定测试范围、授权、时间窗口、规则 | 《测试授权书》《范围确认函》 | 遇到客户临时缩小范围如何处理？ |
| 2. 情报收集 | OSINT、子域名、IP段、技术栈、员工信息 | 《信息收集清单》《资产测绘报告》 | 信息收集到什么程度可以停止？ |
| 3. 威胁建模 | 攻击面识别、威胁树、攻击路径优先级 | 《威胁模型图》《攻击路径分析》 | 如何确定最可能的攻击入口？ |
| 4. 漏洞分析 | 扫描、人工验证、逻辑分析、配置检查 | 《漏洞清单》《PoC 验证记录》 | 如何区分误报与真实漏洞？ |
| 5. 漏洞利用 | 权限提升、横向移动、敏感数据获取 | 《漏洞利用记录》《权限维持方法》 | 利用失败时如何定位原因？ |
| 6. 后渗透 | 隧道搭建、痕迹清理、持续访问验证 | 《后渗透测试记录》《痕迹清单》 | 如何在不破坏系统前提下完成测试？ |
| 7. 报告输出 | 发现汇总、风险定级、修复建议、复测 | 《渗透测试报告》《复测报告》 | 报告如何让开发人员快速理解并修复？ |
面试问答卡
Q1：请描述 PTES 渗透测试标准的七个阶段，并说明每个阶段的核心产出是什么？
🎯 面试官考察点
- 是否真正参与过完整 PTES 流程，还是只背了名字
- 对“交付”的理解——每个阶段是否有形产出
- 能否把方法论与实战场景结合表述
🧩 回答框架
总起（PTES 定义）→ 七阶段依次：前期交互（范围确认）→ 情报收集（资产清单）→ 威胁建模（攻击路径）→ 漏洞分析（PoC 清单）→ 漏洞利用（权限证明）→ 后渗透（影响评估）→ 报告输出（修复建议）。每个阶段点出 1 个关键交付物。
📝 示例回答
“PTES 是渗透测试行业标准流程，包含七个阶段。前期交互确定测试边界与授权；情报收集输出资产测绘报告；威胁建模绘制攻击路径图；漏洞分析产出已验证的 PoC 清单；漏洞利用获取权限证明；后渗透评估横向影响；报告输出包含风险定级与可落地的修复建议。每个阶段都有明确交付物，保证测试可追溯、可复测。”
❓ 可能追问
- 你在实际项目中最常省略哪个阶段？为什么？
- 威胁建模阶段你用过哪些具体方法或工具？
- 报告输出阶段如何保证开发人员能看懂？
⚠️ 避坑提醒
不要只背“七阶段名字”，面试官会追问每个阶段的具体输出物和你的个人操作细节。例如情报收集用了哪些具体源（Shodan、Censys、Google dork），威胁建模是否画过攻击树。
Q2：你在实际渗透测试项目中是如何系统化地进行信息收集的？请结合经验说明。
🎯 面试官考察点
- 信息收集是否有层次、有节奏，而非随机扫端口
- 能否根据收集结果动态调整下一步方向
- 对 OSINT 工具链的掌握深度
🧩 回答框架
分层模型切入：目标确认（授权范围）→ 被动收集（OSINT/Shodan/Google）→ 主动收集（Nmap/Dirsearch）→ 资产梳理（域名/IP/服务对应）→ 威胁建模（攻击面排序）。强调每一层输出驱动下一层行动。
📝 示例回答
“我会按五层模型推进：先确定目标范围与授权；然后被动收集，用 Shodan 查历史域名，Google dork 找敏感文件；再用 Nmap 做端口扫描，Wappalyzer 识别技术栈；接着梳理资产对应关系，标注高危端口；最后做威胁建模，按攻击面优先级排序。每层结果都会记录到《信息收集清单》中，确保可回溯。”
❓ 可能追问
- 遇到 CDN 或 WAF 时你的信息收集策略如何调整？
- 如何判断信息收集已经“足够”了？
- 你最常用的 3 个 OSINT 工具是什么？它们各自的优缺点？
⚠️ 避坑提醒
不要只罗列工具名（Nmap、Dirsearch……），面试官想听你是怎么根据收集结果做下一步决策的。例如“发现 8080 端口开放，判断是 Jenkins，立刻查 CVE-2024-XXXX 相关利用链”。
Q3：从信息收集到最终报告输出，你如何保证渗透测试项目的完整交付和质量？
🎯 面试官考察点
- 是否有全流程质量把控意识，而非只关注漏洞利用
- 对“交付”的理解是否包含报告、复测、沟通
- 能否在有限时间与深度之间做取舍
🧩 回答框架
流程标准化（PTES）→ 质量卡（每个阶段设置 check-point）→ 报告三要素（可复现、可量化、可修复）→ 内部审核（Peer Review）→ 复测闭环。用具体项目举例说明如何平衡时间与深度。
📝 示例回答
“我会按 PTES 七阶段设置检查点：信息收集后必须输出资产清单并通过组长复核才能进入漏洞分析；漏洞利用前所有 PoC 必须经过人工验证。报告严格按‘漏洞描述—复现步骤—风险定级—修复建议’四段式编写，并附截图与请求包。交付前执行 Peer Review，确保无遗漏与逻辑错误。”
❓ 可能追问
- 如果测试周期被压缩到原来的一半，你会砍掉哪个阶段？
- 报告中的风险定级标准是什么？（CVSS 还是自定？）
- 遇到过客户不认可漏洞评级的情况吗？怎么处理？