安全测试外包主要做什么？

　　

安全测试外包简单说就是把你的系统（Web、APP、接口、服务器等）安全检查，交给有资质的第三方专业团队来做，代替自己招人或内部自查。

​

那么，关于安全测试外包主要做什么，大家知道吗？
1）漏洞扫描（基础）
Web 网站、小程序、API 接口、服务器、数据库
自动扫：SQL 注入、XSS 跨站、弱口令、文件上传、信息泄露等
2）渗透测试（核心 / 高级）
白帽黑客视角，模拟真实攻击，人工 + 工具结合
外网→内网，从入口打到核心，找深层次漏洞、权限绕过、越权、业务逻辑漏洞
分：黑盒（无源码）、白盒（有源码）、灰盒
3）源代码审计（白盒）
对 Java/PHP/.NET/Go 等代码扫描 + 人工复核
找出编码层漏洞、后门、不安全写法
4）合规测评 / 等保咨询
按等保 2.0、PCI-DSS、GDPR、数据安全法出合规报告
三级系统每年至少一次，政务 / 金融 / 教育 / 医疗刚需
5）APP / 小程序专项安全
Android/iOS/ 鸿蒙：反编译、篡改、抓包、隐私合规、密钥硬编码、越狱 /root 检测
6）云 / 物联网 / 工控安全（可选）
云服务器、容器、IoT 设备、工业控制系统漏洞检测
交付物：正式报告（含漏洞等级、详情、复现步骤、截图、修复建议）+ 复测