适合谁
渗透测试公司、红队、在公开漏洞赏金项目范围内作业的研究者，以及给自家规则做压力测试的 WAF 工程师。每次作业都从一份写明在范围内主机的授权文档或项目页面开始。产出是一份有截止时间的报告。
解决方案
安全测试与渗透测试中的验证码
测试要覆盖验证码之后的端点，人工识别撑不起规模。接口按次调用并留有日志，仅限书面授权或公开赏金项目范围内使用。
要解决的问题
不把流量真正送过验证码，就没法验证一套机器人防护规则是否有效，要看清后面是什么，前提是能过去。人工识别撑不起几千个端点的登录后爬取，跳过被拦的部分，报告的盲区正好落在客户以为最安全的地方。评估面就这样被低估了。
- 登录后爬取能触达验证码之后的端点
- WAF 与机器人防护规则用真正能通过的流量来验证
- 报告覆盖被验证码挡住的部分，而不是标注为未测试
- 识别调用按 key 留有日志，作业结束后可审计
配合使用
- Burp Suite
- OWASP ZAP
- Nuclei
- Caido
- Playwright
- Python
[ 04 ]关于这一项的常见问题
关于这一项的常见问题
系统所有方的书面授权，或者一个明确把目标列入范围的公开漏洞赏金项目。授权文档请与作业记录一并留存，我们可能会要求提供。
仅限在已获授权的范围内。超出授权范围的测试对我们来说不是灰色地带，相关 key 会被停用。
源站校验的是 token 或 cookie，所以后续请求会被当作已通过验证。指纹、TLS 行为和 header 仍由你自己控制，也仍然属于测试内容的一部分。
每次任务都按 key 记录题型和时间戳。建议一次作业用一个 key，日志就能和交付的报告对上。