1.明確方向
1）明確范疇：測試范疇，如：IP、網(wǎng)站域名、內(nèi)外網(wǎng)、全站or一部分控制模塊
2）明確標(biāo)準(zhǔn)：能滲入到何種程度（發(fā)覺系統(tǒng)漏洞才行or再次運用系統(tǒng)漏洞）、限制時間、能不能改動提交、能不能漏洞利用...
總體目標(biāo)系統(tǒng)玩法攻略、重點保護(hù)對象及特點。
是不是容許數(shù)據(jù)信息毀壞？
是不是容許阻隔業(yè)務(wù)流程正常運轉(zhuǎn)？
檢測以前是不是理應(yīng)通知有關(guān)部門接口人？
接入方式？外網(wǎng)地址和內(nèi)部網(wǎng)？
檢測是發(fā)現(xiàn)的問題即使取得成功，或是盡可能發(fā)覺多問題？
滲入全過程是否要考慮到社會工程？
3）明確要求：web應(yīng)用的系統(tǒng)漏洞(新出來的程序流程)？業(yè)務(wù)流程邏輯漏洞（對于業(yè)務(wù)）？工作人員管理權(quán)限管理漏洞（對于工作人員、管理權(quán)限）？
根據(jù)自己的需求跟自己專業(yè)能力來決定做不做、可以做是多少
2.剖析風(fēng)險性，得到受權(quán)
剖析網(wǎng)站滲透測試環(huán)節(jié)中可能出現(xiàn)的風(fēng)險性，如很多數(shù)據(jù)測試的處理方法、危害正常的業(yè)務(wù)開展、網(wǎng)絡(luò)服務(wù)器產(chǎn)生異常緊急、數(shù)據(jù)信息備份與恢復(fù)、檢測財力物力成本費...
由檢測方撰寫實施意見原稿同時提交給顧客（or本企業(yè)內(nèi)部領(lǐng)導(dǎo)干部）進(jìn)行審查。在申報結(jié)束后，從客戶（or本企業(yè)內(nèi)部領(lǐng)導(dǎo)干部）獲得對檢測方開展書面形式委托授權(quán)書，受權(quán)檢測方開展網(wǎng)站滲透測試。
3.信息搜集
在信息搜集環(huán)節(jié)，我們應(yīng)該盡可能多的搜集關(guān)于目標(biāo)web應(yīng)用的所有信息，例如：開發(fā)語言的種類、云服務(wù)器種類、文件目錄的構(gòu)造、所使用的開源項目、數(shù)據(jù)庫類型、全部連接網(wǎng)頁頁面，需要用到的架構(gòu)等。
方法：積極掃描儀；對外開放檢索
