信息安全方面的测试报告，渗透测试和漏洞扫描各测什么？

在信息安全测试报告里，渗透测试和漏洞扫描是两项性质完全不同、但互为补充的工作。如果用一句话概括：漏洞扫描是“发现问题”，渗透测试是“验证问题能不能被真正利用”。下面把两者在报告里各自要呈现的内容拆开说清楚。

漏洞扫描+渗透测试

一、漏洞扫描：输出的是“风险清单”

漏洞扫描的核心是用自动化工具，快速比对已知漏洞库，把系统里“已知的坑”找出来。它在报告中通常呈现为一份结构化的清单，主要覆盖以下几类内容：

端口与暴露面：公网IP或域名上开放了哪些端口、运行了哪些服务。这是扫描的基础，端口暴露本身就是攻击面。

已知漏洞：覆盖OWASP Top 10中的Web漏洞，如SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等。工具通过特征匹配、协议分析等方式，识别操作系统、应用软件、数据库、网络设备中存在的已知CVE漏洞。

弱口令：主机资产、数据库、中间件等是否使用了默认密码或简单密码。

配置缺陷：不安全的HTTP方法、目录列表开启、测试页面未删除、信息泄露等配置层面的问题。

报告输出特点：漏洞扫描报告通常以CVSS分数、漏洞清单和修复优先级的形式呈现。但需要留意，自动化工具存在误报率较高的问题，报告中的漏洞列表需要人工核实，不能直接当成最终结论。

二、渗透测试：输出的是“攻击路径”

渗透测试是安全专家手动模拟真实攻击者的行为，目标是验证漏洞是否真的能被利用，以及利用后能造成多大危害。它在报告中呈现的不是一个清单，而是一条完整的攻击链路。

信息收集：报告会记录测试人员通过公开渠道和主动扫描收集到的目标信息：域名、子域名、IP地址、开放端口、服务版本、人员信息等，展示攻击者“看到了什么”。

漏洞利用与验证：这是渗透测试报告的核心。报告会展示具体的利用步骤：用什么payload、发出什么请求、返回什么结果，证明某个漏洞是真实可利用的。比如，漏洞扫描可能报告“登录接口存在弱口令风险”，渗透测试则会实际尝试用admin/123456登进去，并截图证明。

权限提升与横向移动：渗透测试会尝试从低权限账号提升到管理员权限，或者从一个系统横向移动到另一个系统。报告会展示攻击者如何在系统内部移动、最终访问到了什么敏感数据或获取了多高的权限。

业务逻辑漏洞：这是自动化工具几乎无法发现的领域。比如“修改订单ID可以查看他人订单”“优惠券可以无限刷”“支付金额可以被篡改”——这些漏洞需要理解业务逻辑才能发现，是渗透测试的核心价值所在。

报告输出特点：渗透测试报告的核心是攻击证明（PoC），包含复现步骤、截图证据和完整的攻击链还原。结论不是“有哪些漏洞”，而是“攻击者能从哪里进来、能走到哪一步、能拿走什么”。

三、两者在报告中的核心区别

四、实操建议

如果你的报告需要用于项目验收、等保测评或入网安评，只做漏洞扫描是不够的。河南省2026年印发的《非涉密政务信息系统开发安全管理指南》明确要求，政务系统上线前必须通过代码审计、漏洞扫描、渗透测试三种方式开展安全测试。渗透测试是安全测试报告中的必做项，不是可选项。

两者在报告中是互补关系：漏洞扫描负责“广撒网”，把已知风险快速筛出来；渗透测试负责“深挖洞”，验证这些风险到底能不能被利用、会造成什么后果。报告中同时呈现这两部分内容，安全结论才站得住脚。

标签：渗透测试、漏洞扫描