02_廖汇铭_企业内部的渗透测试自动化探索.pdf

1、 平安科技-廖汇铭从API资产到渗透测试自动化的工程化实践01系统持续增加系统持续增加随着公司业务发展，待测系统增加内外规要求更高，有更多的待测系统02渗透测试高度依赖个人经验渗透测试高度依赖个人经验渗透手法零散实战技巧缺乏体系化沉淀同个系统换一个人测试，结果差不少0304渗透测试专业程度高渗透测试专业程度高、人力成本高人力成本高面临不断增加的待测系统随之而来的是需要更多人力专业程度高，相应的人力成本也较高，需要提升效率05测试覆盖频率测试覆盖频率，风险敞口大风险敞口大业务系统持续发布，风险随之被发布线上覆盖频率不足，风险暴露窗口长06管理层希望高效率管理层希望高效率、高覆盖高覆盖、可量化可量

2、化所有测试步骤都要能够标准化、可量化测试结果、决策过程、风险判断要能审计背景：为什么要做渗透测试自动化权限绕过等逻辑类漏洞缺乏自动化发现工具权限绕过等逻辑类漏洞缺乏自动化发现工具实战技巧高价值沉淀，工程化体系化完成渗透借助AI智能体覆盖难以自动化发现的权限绕过类问题降低渗透测试的人力降低渗透测试的人力依赖与重复投入依赖与重复投入用自动化减少重复劳动，让测试人员从繁琐的重复性工作中解脱出来，提升渗透效率、降低人力成本，使人力更专注于高价值漏洞渗透测试流程自动化渗透测试流程自动化、智能化智能化从前期信息收集到实施测试部分测试工作自动完成。让AI参与漏洞研判，减轻人工压力，提高漏洞判断的准确性和效率

3、，并可以线上交付报告提升测试覆盖率，降提升测试覆盖率，降低漏测低漏测让系统级测试下沉到API/接口层级，通过建立资产中心测绘，解决覆盖面的问题，搭配自动化测试工具缓解人工测试存在覆盖不足，导致部分功能或接口存在漏侧自动化平台建设目标让安全能力以平台形让安全能力以平台形式持续进化式持续进化将零散的渗透手法不断在实战中总结归纳，体系化沉淀，形成安全能力，不断完善4 43 3自动生成测试计划与自动生成测试计划与 POCPOC，自动执行用例，自动执行用例，结合结合 AI AI 漏洞研判闭环漏洞研判闭环，提升效率提升效率提高自动测试的覆盖提高自动测试的覆盖比重比重，降低重复性任降低重复性任务务，尽可能的

4、解放高尽可能的解放高价值人力到复杂的漏价值人力到复杂的漏洞挖掘洞挖掘2 21 1从从“APIAPI流量流量”入手，入手，建立建立APIAPI资产中心资产中心，对对APIAPI资产标准化，使用资产标准化，使用智能体分类打标智能体分类打标通过标签矩阵模型，通过标签矩阵模型，让测试用例与资产属让测试用例与资产属性自动匹配性自动匹配，每个子每个子系统生成精准测试方系统生成精准测试方案案自动化平台建设思路不是代替人，是尝试把渗透能力从不是代替人，是尝试把渗透能力从“手工经验手工经验”升级为升级为“可持续的安全测试工程体系可持续的安全测试工程体系”。旁路流量镜像设备，进行清洗过滤，去重，大模型根据请求响应

5、特征打上预设的标签人工测试过程的流量，作为补充导入，如burpsuite大模型打标分类，建立API资产中心智能打标分类的API资产根据内外规、攻防形势，形成渗透测试测试标准用例清单收集被测系统的上下文信息用于后续漏洞研判根据API标签和渗透测试标准用例自动生成测试方案建立自动化工具体系（初期支持垂直越权、水平越权、SQL注入、接口未授权）收集被测系统1高2低账密，基于内部的认证体系自动化获取登录凭证部分用例自动化执行高难度用例手工执行如越权漏洞，收集执行的结果，初步进行规则判断，如果没有命中规则，交给AI研判建立多AGENT研判智能体，不同类型漏洞使用不同的AGENT利用AI智能体漏洞研判，提

6、升人工效率针对AI智能体研判后的漏洞，进行人工二次漏洞确认漏洞详情补充，利用步骤和截图交付渗透测试报告，同步漏洞到漏洞管理平台进行漏洞闭环 渗透测试自动化平台流程设计资产检测研判闭环自动化平台整体架构设计旁路流量镜像设备（APT等）API标准化API打标智能体（规则引擎+语义理解）API资产中心测试计划任务自动化登录与会话状态维持工具信息收集账户信息权限信息越权漏洞执行器SQL注入执行器接口未授权执行器标准化用例矩阵基于browser-use的端到端测试第三方组件未授权执行器白盒越权检测工具精准渗透测试方案漏洞漏测分析标准用例自动化执行漏洞误报率分析人工二次漏洞复核线上渗透报告交付基于规则引擎