壹.信息收集
在信息收集階段，我們需要收集盡可能多的關於目標web應用的信息，比如腳本語言的類型、服務器的類型、目錄的結構、使用的開源軟件、數據庫的類型、所有鏈接的頁面、使用的框架等。
第二，漏洞發現
現階段測試時要對癥下藥，不要盲目掃描。首先要確定目標應用是否使用開放的開源軟件、開源框架等。，然後進行深度漏洞掃描。
第三，利用漏洞
根據不同的弱點有不同的漏洞利用方式，需要更多的知識點。壹般這個階段包括兩種方式，壹種是手工測試，壹種是工具測試。
人工測試
手動測試是壹種漏洞檢測技術，通過客戶端或服務器訪問目標服務，手動向目標程序發送特殊數據，包括有效和無效輸入，觀察目標的狀態，響應各種輸入，根據結果發現問題。
工具測試
網絡上有很多有用的免費工具，比如針對SQL註入的sqlMAP和針對軟件漏洞的matesploit。