DeepFrame

什么是 DeepFrame？

DeepFrame 为现代 Web 应用提供获授权的深度安全审查。它专注于已登录测试，针对业务逻辑缺陷，旨在生成清晰、可复现的概念验证（PoC）并验证修复。

核心目的是帮助团队通过更深入审查评估快速迭代 Web 应用的安全风险，以可复现方式记录发现，并逐项复测每项修复。

主要特性

• 获授权的深度安全审查：测试以授权参与形式开展，系统审查现代 Web 应用的安全问题。
• 已登录业务逻辑缺陷测试：专注于用户登录后应用流程异常导致的漏洞。
• 可复现 PoC：发现附带概念验证材料，以可重复方式演示问题。
• 逐项修复复测：每项修复均重新检查，以确认问题已解决。

如何使用 DeepFrame

首先聘请 DeepFrame 对您的现代 Web 应用进行获授权安全审查。分享审查范围及相关访问权限/要求，以便包含应用逻辑的已登录测试。

参与期间，审查文档化发现及提供的可复现 PoC。实施每项修复后，请求复测，以便 DeepFrame 验证每项报告问题的修复。

使用场景

• 发布前生产 Web 应用的安审：团队安排获授权深度审查，识别未登录测试中可能未现的业务逻辑问题。
• 安全报告后验证修复：修复工作后，团队使用复测确认每项具体修复解决根本问题。
• 调查已登录滥用路径：应用团队针对已登录用户行为不同的工作流（例如，角色许可操作或用户会话中的状态变更）。
• 交付工程师可复现证据：开发人员使用可复现 PoC 理解故障模式，并在受控环境中确认行为。

常见问题

• DeepFrame 关注哪些类型安全问题？ 强调现代 Web 应用的已登录业务逻辑缺陷。

• DeepFrame 是否为发现提供概念验证？ 是的。页面说明审查包含可复现 PoC。

• 修复实施后是否包含复测？ 是的。描述说明 DeepFrame 复测每项修复。

• DeepFrame 是否进行未登录测试？ 提供的描述特别强调已登录测试。未提及未登录测试细节。

替代方案

• 使用已登录测试用例的内部应用安全（AppSec）测试：团队可使用内部脚本和手动测试流程开展逻辑导向的安全审查，并在本地验证修复。
• 专注于 Web 应用安全的第三方渗透测试公司：类似参与可覆盖业务逻辑风险并提供证据，但已登录测试和复测流程可能不同。
• 带分类和修复验证的 Bug 赏金程序：组织可外包 Web 应用缺陷发现给更广泛测试者，但“每项修复复测”流程可能不如结构化。
• 带手动审查的自动化 DAST 工具：扫描工具可发现 Web 问题，但可能不专门覆盖已登录业务逻辑缺陷识别或 DeepFrame 所述的结构化 PoC 复测。