---
name: authorization-checklist
description: 授权确认与范围边界检查清单 — 所有渗透测试在执行前必须完成授权确认
---

# 授权确认与范围边界检查清单

> 引用: [约束:pentest-boundary §2] — 本文件为 §2 的详细补充

## 1. 授权确认流程

### 1.1 授权自动分级

```
用户给出目标
    │
    ├─ 是否含 test/dev/staging/sandbox？ → ✅ 企业test环境 — 自动授权
    │
    ├─ 是否提供账号密码/Token？ → ✅ 灰盒测试 — 自动授权
    │
    ├─ 是否声明"已授权"/"我的环境"？ → ✅ 已授权 — 自动授权
    │
    ├─ 是否是内网IP (10.x/192.168.x/172.16-31.x)？ → ✅ 内网环境 — 自动授权
    │
    └─ 以上全否 → ❓ 无授权 — 仅公开信息收集，不执行漏洞检测
```

### 1.2 授权级别对照表

| 授权级别 | 授权特征 | 允许范围 | 自动操作级别 |
|---------|---------|---------|------------|
| P0 - 完整授权 | 签章合同/正式渗透委托 | 全量测试 + 社工 + 深度利用 | 完整渗透 |
| P1 - 企业test环境 | URL含test/dev/staging | 标准漏洞检测 + PoC验证 | **自动全速** |
| P2 - 灰盒测试 | 提供账号密码/Token | 登录态 + 逻辑 + 越权 | **自动全速** |
| P3 - 本人环境 | 用户声明是自己的系统 | 全量测试(不破坏) | 完整渗透 |
| P4 - 授权扫描 | 声明"授权扫描" | 仅漏洞检测，不利用 | 仅检测 |
| P5 - 无授权 | 以上皆否 | 仅公开信息 | 仅分析 |

### 1.3 授权确认记录

每次授权确认后自动记录:

```
🟢 授权确认:
   ├─ 授权级别: P1 - 企业test环境
   ├─ 目标: https://test-api.example.com
   ├─ 判定依据: URL包含"test"
   ├─ 允许操作: 标准漏洞检测 + PoC验证
   ├─ 禁止操作: 数据导出/持久化/破坏
   ├─ 并发限制: 10
   ├─ 测试窗口: 自动
   └─ 记录时间: 2026-06-08 10:00:00
```

## 2. 范围边界规范

### 2.1 范围定义

| 授权类型 | 包含范围 | 不包含范围 |
|---------|---------|-----------|
| 主目标 | 用户指定的域名/IP/URL | 所有其他 |
| 含子域名 | 主目标 + *.主目标.com | C段/关联IP/母公司域名 |
| 含关联资产 | 主目标 + 子域名 + C段IP | 非授权第三方 |
| CIDR范围 | 指定网段内所有IP | 网段外IP |

### 2.2 跨边界检测

在发现以下情况时，必须确认是否超出授权范围:

```mermaid
发现新资产/目标
    │
    ├─ 同域名不同子域名 → ✅ 原则上允许（主目标范围内）
    │
    ├─ 同IP不同域名 → 🟡 需要确认（是否同主机不同站点）
    │   ├─ 是虚拟主机 → ⚠️ 不测试非目标域名
    │   └─ 是同一应用 → ✅ 继续测试
    │
    ├─ 同C段不同IP → 🟡 需要确认（是否授权范围）
    │
    ├─ 同ASN → 🟡 需要确认（关联资产需单独授权）
    │
    └─ 第三方服务（CDN/云/WAF） → ⚠️ 仅测试目标在第三方上的资产
```

### 2.3 底线规则

| 场景 | 判定 |
|------|------|
| 发现目标使用共享主机 | 不测试同IP的其他站点 [红线:R10] |
| 发现目标S3 Bucket中有其他公司的数据 | 不读取/不下载 [红线:R8] |
| 云元数据泄露获取到其他用户的资源 | 不访问/不操作 [红线:R7] |
| 跳板机可以访问内网其他系统 | 不横向移动 [红线:R7] |

## 3. 授权终止条件

出现以下任一情况时，授权自动终止:

1. 目标方书面通知停止测试
2. 发现超出授权范围的敏感数据
3. 造成目标系统不可用
4. 测试协议约定的时间到期
5. 测试目标已不属于授权范围（如IP已变更所有者）

---

> *配合 [约束:pentest-boundary SKILL.md §2] 使用 | 授权边界：不越界测试*
