# Pre Launch Pt

> Pre Launch Pt

- Skill: `haibo3434358/pre-launch-pt` (Agent Skill)
- Install (CLI): `npx skillmds@latest add haibo3434358/pre-launch-pt`
- Raw SKILL.md: https://api.skillmd.com/api/skills/haibo3434358/pre-launch-pt/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Product & Planning
- Author: haibo3434358 (https://skillmd.com/u/haibo3434358)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/haibo3434358/pre-launch-pt

---


# 上线前渗透测试 Playbook

## 场景特点

- **测试环境**：可以做破坏性测试，不影响真实用户
- **有完整支持**：可能有源码、多角色账号、API 文档
- **目标全面**：尽可能多地发现安全问题
- **时间充裕**：可以深入测试每个功能

## 测试范围（比 SRC 更宽）

### 允许的操作
- 任意参数 fuzz（不限速率）
- 使用多账号测试越权（管理员/普通用户/未登录）
- 文件上传测试（各种格式和绕过）
- SQL 注入深度测试（手动构造 payload）
- 竞态条件测试（并发请求）
- 会话管理测试（token 过期、重放、并发登录）

### 仍然禁止
- 自动化扫描器（保持人工渗透思维）
- 攻击非测试环境的目标

## 测试清单（全覆盖）

### 认证与会话
- [ ] 弱密码策略测试
- [ ] 密码重置流程是否可劫持
- [ ] 会话 Token 是否可预测
- [ ] 登出后 Token 是否仍有效
- [ ] 并发登录限制
- [ ] JWT/Cookie 安全性（→ jwt-attack-methodology, cookie-analysis）

### 授权与访问控制
- [ ] 水平越权：用户 A 能否访问用户 B 的数据（→ idor-methodology）
- [ ] 垂直越权：普通用户能否访问管理功能（→ privilege-escalation-web）
- [ ] 未授权访问：去掉认证后能否访问（→ 401-403-bypass）
- [ ] 功能级授权：各 API 的权限校验

### 输入验证
- [ ] SQL 注入（→ sql-injection-methodology）
- [ ] XSS（→ xss-methodology）
- [ ] 命令注入（→ command-injection-methodology）
- [ ] SSRF（→ ssrf-methodology）
- [ ] 文件上传（→ file-upload-methodology）
- [ ] XXE（→ xxe-injection-methodology）

### 业务逻辑
- [ ] 支付/金额篡改（→ business-logic-attack）
- [ ] 流程跳转/状态篡改
- [ ] 竞态条件/并发（→ race-condition-exploit）
- [ ] 验证码绕过

### 信息泄露
- [ ] 敏感路径泄露（→ information-disclosure-methodology）
- [ ] API 文档泄露（Swagger/GraphQL introspection）
- [ ] 错误信息泄露（Stack Trace）
- [ ] JS 中的敏感信息

### API 安全
- [ ] GraphQL 安全（→ graphql-methodology）
- [ ] WebSocket 安全（→ websocket-attack）
- [ ] CORS 配置（→ cors-misconfiguration）
- [ ] HTTP Header 安全

## 报告格式

使用完整渗透测试报告模板，包含：执行摘要、测试范围、方法论、详细发现、风险评级、修复建议、附录。