渗透测试授权书

上个月，渗透授权书某金融公司技术主管老周找到我，测试说他们内部系统被“自己人”搞瘫了。渗透授权书不是测试黑客，是渗透授权书运维部一个新来的小伙子，为了证明自己发现了一个高危漏洞，测试直接在生产环境跑了扫描器。渗透授权书结果误伤了核心数据库，测试业务中断四小时。渗透授权书老周苦笑：“他倒是测试没干坏事，但我得先开除他，渗透授权书再考虑要不要起诉。测试”这事听着荒谬，渗透授权书但根源就一条——没有授权书，测试任何测试行为在法律上都等同于攻击。渗透授权书

授权书不是一张走过场的纸。它像手术前的知情同意书，明确谁在什么时间、用什么手段、对哪台机器、做到什么程度。我见过太多企业，口头说“你测吧”，等真出了事，翻脸比翻书还快。客户说你超范围了，你说对方当时点头了——口说无凭，法庭只认白纸黑字。哪怕你只是扫了个端口，没授权，对方完全可以报警，罪名是“非法侵入计算机信息系统”。这不是吓唬人，刑法第285条在那儿摆着。

写授权书有个关键细节，很多人忽略：范围必须精确到IP段和域名，连测试时间窗口都要写死。去年有个朋友接了个私活，对方说“测我们整个公司网络”，他也没多想，就扫了对方整个C段。结果里面有一台服务器是第三方托管的，不属于委托方。托管方发现扫描记录后直接报了案，朋友差点进去。后来折腾了三个月，靠聊天记录和转账凭证才证明是误会。你说冤不冤？授权书写“整个公司”四个字，等于没写。

另外，授权书里得写明应急响应流程。测试过程中发现严重漏洞怎么办？是立刻停手还是继续深入？谁有权限叫停？我建议在条款里加一条：“测试方发现高危漏洞后，须在30分钟内通过电话或即时通讯工具通知授权方，并停止进一步利用。”别觉得这限制了你发挥。真碰上一个能拖垮全网的0day，你闷头往下打，把客户核心数据搞没了，就算有授权，人家照样能告你“超出必要限度”。这就像消防员救火，你有权破门，但没权把人家房子拆了。

还有一类授权书，是给“长期合作”的渗透团队用的。比如某大型电商平台，每季度要测一次，每次都重新签太麻烦。这时候可以签一份框架性授权协议，约定未来一年内，在指定范围内的测试都有效。但注意，这种协议必须写明每次测试前还需提交具体的《测试计划书》，经对方安全负责人书面确认后才能动手。别嫌繁琐，我亲眼见过一个团队仗着有年度授权，半夜两点开始扫，把对方监控系统搞报警了，对方值班人员以为是入侵，直接启动了物理断网。第二天双方开会，气氛尴尬得能结冰。

最后说个实在的。授权书签完，别塞进抽屉就完事。测试开始前，把扫描器源IP、测试账号、时间窗口，都提前发给对方安全团队备案。测试过程中，每两小时同步一次进度。对方要换IP或改架构，立刻暂停，重新确认范围。这套流程看着土，但能省掉90%的扯皮。毕竟渗透测试的本质是找漏洞，不是找官司。你把授权书当护身符，它就能保你平安；你把它当废纸，它就是给你挖坑的铲子。