授权与合规声明本文全部操作对象均为自建隔离靶场本机容器或隔离虚拟机涉及安全测试的环节必须以取得合法授权为前提。未经授权的渗透测试违反《中华人民共和国网络安全法》与《刑法》相关条款须承担相应法律责任。本文只讲环境配置、版本对照与靶场隔离不含任何攻击步骤、利用载荷与绕过手法请勿将文中环境指向任何非自有系统。第 1 章 授权到底是一份文件还是一个事实1.1 面试现场那三秒钟的犹豫面试官聊完简历随手打开一个页面说你现场看一下这个站说说你会怎么验证它。你心里同时冒出来两句话——“这是机会和这站不是我的我该不该动手”。真正让人卡住的不是技术会不会而是你不知道从哪一步起这件事就已经不该做了。本文不回答这么做合不合法——那需要具体事实也需要专业法律人士。本文只回答一个更前置的问题这类场景里授权的主体是谁、你拿什么举证、边界该画在哪里。1.2 把授权落在三个能回答的问题上授权两个字听起来抽象但它其实是三个可以被回答、也可以被回答不出的问题授权主体是谁允许你动手的是哪一个具体的个人或组织他凭什么代表这套系统拿什么举证这份允许能不能落在你能拿出来的一件东西上边界画在哪允许的范围写清楚了吗写到哪一步为止这三个问题不是道德题而是举证题你要能说清楚是谁允许的、凭什么是它、允许到哪。三个里只要有一个答不上来判断就该往先不动手的方向靠。要问自己的答不上来的信号答得上来意味着授权主体是谁说不出具体的人或组织或说不出他凭什么代表这套系统你能指名一个对这套系统有处分权的一方拿什么举证只有一句口头你随便看没有任何可留存的东西你手上能有一件写明了对象与范围的凭证边界画在哪没人告诉你做到哪一步为止你能说出允许碰什么、不允许碰什么1.3 本文只做一件事本文不对任何具体行为作合法或违法的定性——这样算不算违法这一句本文一句都不回答只把它拆成上面三件事。之所以只谈这三件事是因为它们在你这一侧就能确认主体、举证、边界都不需要你替对方做法律判断。本章可以带走的一句判断该不该动手先别问我觉得行不行先问这三件事——授权主体是谁、拿什么举证、边界画在哪答不上来的那一件就是你的停手点。第 2 章 面试题里的三种情形面试里验证一个站至少有三种完全不同的形式。它们的区别不在难度而在授权主体能不能被指名。2.1 情形一让你讲思路第一种是让你讲思路如果给你一个站、给你授权你会按什么顺序去看、每一步想确认什么。这种情形里你要动的东西只有你自己的表达。授权主体你自己。你要讲的内容属于你不指向任何第三方系统。举证你的笔记与推演过程本身。边界只讲不动手。不打开那个页面不对任何真实目标做动作。这一种情形里没有他人系统这个对象你需要交代清楚的只有自己的思路。2.2 情形二给你一台独立环境第二种是面试方给你一个独立的环境——一台专门搭出来、只服务于这次考核的靶机或隔离环境。这时授权主体开始具体是把这台环境交给你的那一方。授权主体提供该环境的一方不是面试官个人两者未必同一。举证一件写明这台环境可用于本次考核的说明以及这台环境的归属信息。边界仅限这一台环境。它之外的任何系统都不在这次授权范围里。这一种相对清楚对象被圈死了。2.3 情形三让你在真实在运营的站上验证第三种最需要警惕对方让你看的是一个正在对外提供服务、有真实用户和业务的站点——真实的业务、用户数据与第三方关系。这时三个问题会同时变难授权主体是谁面试官个人能不能代表这个站所有者、运营方以及托管它的第三方各自是什么态度拿什么举证一段对话、一张截图算不算能留存的凭证它写清了对象和范围吗边界画在哪是整站还是某一个页面是看一眼还是可以动手三个问题答不上来并不是我不会做而是这条请求本身画不出边界。这时候最专业的一句话是把动作停在讲思路这一步把验证搬到你自有的环境里做。情形授权主体是谁能举什么证边界在哪让你讲思路你自己你表达的内容你的笔记与推演只讲不动手给你一台独立环境把该环境交给你的一方该环境可用于本次考核的书面说明与归属信息仅这一台环境让你在真实在运营的站上验证往往一时说不清一段对话通常说明不了对象与范围画不出来这里就是停手点⚠️代码待验证# 面试三情形的自查模板填不出的那一项就是你的停手点# 情形一 讲思路 —— 授权主体你自己举证你的笔记边界只讲不动手# 情形二 独立环境 —— 授权主体把环境交给你的一方举证归属说明边界仅此环境# 情形三 在运营的站 —— 授权主体____举证____边界____# 说明自问用不是指令本章可以带走的一句面试里验证一个站的三种形式区别不在难度而在授权主体能不能被指名主体说不清、举证拿不出、边界画不了的那一种答案就是先不动手。第 3 章 朋友、同学、家人让你顺手看看3.1 认识的亲疏换不来授权的有无“帮我看看我的站”——熟人最常说的一句。它的误导在于把我们很熟当成了我有授权。熟不熟是关系有没有授权是处分权。和你关系很近的人若他不是这套系统的所有者、也没得到所有者授权那他说随便看也只是个人热情落不到授权主体这一格上。3.2 谁才是这份授权的授权主体一个站点背后可能站着一串角色写站的、买服务器的、公司主体、托管或代维的第三方。让你顺手看看的这个人可能只是其中一个使用者而不是能代表这套系统作出允许的一方。所以第一件事不是动手而是把问题倒过来问这台站、这台设备到底归谁处分问不清就按暂时无法确认授权主体处理。3.3 把帮忙变成一件能举证的事帮忙不丢人丢人的是让帮忙变成一笔说不清的账。把帮忙变成能举证的事只要三步先问归属这台设备、这个站谁是所有者谁在运营。再要范围如果所有者愿意让他写清允许看什么、允许到什么程度、不允许碰什么。再谈方式看清自己打算做的事是否落在写明的范围内。如果三步走不通还有一个办法把问题搬到你自己搭的环境里复现——在自有隔离环境里复现对方描述的现象既不碰他的系统也能把问题讲清楚。场景授权主体是谁能举什么证边界在哪朋友让你看看我的站站的所有者或运营方未必是开口的那个人所有者写明的对象与范围以写明的范围为准同学请你帮个忙同上同学个人不等于所有者同上只做范围内的事家人让修一下路由器或电脑该设备的所有者设备归属清楚即可仅这一台设备不波到他处⚠️代码待验证# 熟人求助的追问模板问不清就先别动手# 这台站/这台设备归谁处分 - 答不出按无法确认授权主体处理# 开口的人和所有者是不是同一个 - 不是就去找所有者确认# 允许的范围写下来了吗 - 只有口头就当成没有举证# 说明追问用非操作步骤本章可以带走的一句熟人关系是关系授权是处分权“他认识我换不来他有权授权”问不清授权主体就先别动手。第 4 章 外包与私活谁签字、签什么、范围怎么写4.1 签字的人得能代表授权主体外包与私活里最容易出问题的一步是签字的人。找你做事的可能是一个个人、一家小公司、或某个项目的对接人。签字的人能不能代表这套系统的授权主体决定了这份约定有没有支点。一个实用的自问事后要追责是不是这个人来承担他承担不了签字也就顶不上。这只是把签字主体和系统主体对上的一个方法。4.2 三样东西要落在纸面上无论对方是谁能举证的约定至少要把三样东西落在纸面上对象、范围、期限。对象这次授权具体指向哪一套系统、哪一台设备、哪一个域名。范围允许做什么、不允许做什么哪些动作必须事前单独确认。期限从哪一天到哪一天有效。这三样写在纸面或至少写在一封能留存的书面沟通里你才拿得出一件东西来举证。只有一句你尽管做事后是各说各话。4.3 越界之后责任先看边界怎么写私活里真正的风险点常不在做没做而在越没越界。判断越界第一步回到纸面约定写到哪、你实际走到哪——超出约定范围的那部分就是要承担后果的那部分。第二步才轮到谁签的字能代表授权主体的一方签了字约定才有支点。本文不评判任何情形的法律后果只提醒你把这两件事分开看——边界写在纸面上责任才落得下去。角色是不是授权主体他需要给你什么系统所有者或运营方是写明对象、范围、期限的书面约定项目的对接人或执行人未必是由授权主体背书或确认的书面说明只做口头承诺的个人通常不是先回到授权主体去确认⚠️代码待验证# 外包/私活的三样落在纸面上再动手# 对象哪一套系统 / 哪一台设备 / 哪一个域名 - ____# 范围允许做什么、不允许做什么、哪些要单独确认 - ____# 期限从哪一天到哪一天有效 - ____# 签字签字的人是不是能代表授权主体 - 不是就先去确认# 说明约定要件清单非合同模板本章可以带走的一句外包私活里先看签字的人能不能代表授权主体再看对象、范围、期限有没有落在纸面边界写得清责任才落得下。第 5 章 现行条文读一遍前三章讲的都是授权主体、举证、边界。这一章把和它直接相关的几条现行条文读一遍。条文与版本口径以截至 2026-10-10核验的现行文本为准。5.1 第二十九条三层结构逐字引如下第二十九条任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具明知他人从事危害网络安全的活动的不得为其提供技术支持、广告推广、支付结算等帮助。这条文把禁令分成三层第一层管动手第二层管给出工具第三层管提供帮助。三层都不要求你成功它管的是行为指向对应本文主线里的边界画在哪。版本口径现行文本共7 章 81 条写明生效日的是第八十一条「本法自2017年6月1日起施行」而2026-01-01 是修改决定的施行日两者不要混写。5.2 第二十八条发布侧那一句逐字引如下第二十八条开展网络安全认证、检测、风险评估等活动向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息应当遵守国家有关规定。这条点出检测、风险评估这类活动以及向社会发布漏洞等信息这件事都应当遵守国家有关规定。它不替你回答我有没有授权只告诉你这类活动有要守的规矩——对应本文主线里的拿什么举证。5.3 第六十五条、第六十六条后果落在哪个层级违反上面两条后果分别落在两条罚则上违反第二十八条的落第六十五条——针对开展认证检测评估、发布漏洞等信息这一侧。违反第二十九条的落第六十六条——针对禁令那一侧包含行政处罚与禁业两层。本文只点到落在哪一条、后果是什么层级不逐项展开区间两条逐字原文与区间见文末附表 A。禁令侧若够不上行政门槛、进入刑法视野还会碰上《刑法》第二百八十五条、第二百八十六条的罪目。本文只点条名不展开。条款管什么与授权主体 / 举证 / 边界的对应第二十九条禁令三层动手 / 给工具 / 提供帮助边界——哪一步起就不能做第二十八条认证检测评估与发布漏洞信息应遵守国家有关规定举证——这类活动要守的规矩第六十五条违反第二十八条的后果层级发布侧第六十六条违反第二十九条的后果层级含禁业禁令侧⚠️代码待验证# 条款速记把管什么和本文主线对上仅作记忆对照# 第二十九条 禁令三层 - 边界哪一步起就不能做# 第二十八条 发布侧应守规定 - 举证这类活动要守的规矩# 第六十五条 违反第二十八条 - 后果层级发布侧# 第六十六条 违反第二十九条 - 后果层级禁令侧含禁业本章可以带走的一句禁令落在第二十九条、发布侧落在第二十八条后果分别对应第六十五条与第六十六条读条文先看正文与层级别只记条号。完整版条文对照资料把本文引用的第二十八条、第二十九条、第六十五条、第六十六条逐字原文与授权主体 / 举证 / 边界的对应整理成一页正好对应本章的读法。放在资料包里扫码即可获取第 6 章 三步自查把前面所有内容压成三步它们分别对应本文开头的三个问题。6.1 第一步授权主体你能说出名字吗说不出名字就不要进入下一步。“环境是谁给的”“站是谁的”都要能指到一个具体的一方。这一步过不了后面的举证与边界都无从谈起。6.2 第二步你能拿出一件书面东西吗“书面不一定是一份正式合同但必须是能留存、写明对象与范围的一件东西。口头转述、群里一句你随便看”都不是能举证的凭证——授权还停在口头这一档。6.3 第三步越界之后后果谁承担这一步最容易被跳过。越界之后先看边界写在哪、再看由谁签的字。你若说不清后果由谁承担本身就说明边界还没画清——回到第一步。步骤问什么答不上来怎么办第一步授权主体能说出名字吗停手先把主体问清第二步能拿出一件写明对象与范围的书面凭证吗停手先补齐举证第三步越界之后后果谁承担说明边界没画清回到第一步⚠️代码待验证# 三步自查记录模板任何一步空着就先别动手# 第一步 授权主体____要能指到具体的一方# 第二步 书面举证____写明对象与范围能留存# 第三步 后果承担____边界写在哪、谁签的字# 说明自问记录非授权书模板本章可以带走的一句三步自查只问三句话——主体能不能说出名字、举证能不能拿出手、后果由谁承担任何一步答不上来答案都是先把动作停在讲思路。第 7 章 总结把我不做说成一句专业的话7.1 拒绝不是失礼是把事实摆清很多人不敢拒绝是怕显得不专业、不配合。其实反过来把我不做说成一句有依据的话恰恰是专业的体现。你不是拒绝帮忙是在指出授权主体、举证和边界还没有对上。7.2 一个可以照着说出口的句式“这个站不是我的我不清楚它的授权主体是谁如果要在它上面做验证需要先由能代表它的一方把允许的范围写下来。在那之前我可以先把自己环境里的复现思路讲给你听。”这句话的骨架就是本文主线授权主体是谁 → 拿什么举证 → 边界画在哪它把球递回给了该负责的一方。7.3 本文使用限制本文是技术科普不构成法律意见也不对任何具体行为作合法或违法的定性。条文依据2025 年 10 月 28 日通过修改决定、2026 年 1 月 1 日起施行的《中华人民共和国网络安全法》现行文本截至 2026-10-10请以国家法律法规数据库现行文本为准。本文不覆盖众测平台、企业 SRC、授权测试项目等场景——这几类授权规则的来源本文未核验故不涉及。所列条文均逐字引用条号随修法可能变动引用前请核对现行文本。⚠️代码待验证# 拒绝话术的骨架把三件事连成一句话不带情绪也不含糊# 第一句对象不是我的 / 我不清楚它的授权主体是谁# 第二句要做验证先由能代表它的一方把允许的范围写下来# 第三句在那之前我可以先讲我自己环境里的复现思路# 说明话术骨架非法律意见本章可以带走的一句把我不做说成一句专业的话不需要讲道理只需要把三件事摆出来——授权主体是谁、拿什么举证、边界画在哪。完整版场景自查卡把面试、熟人求助、外包私活三个场景的授权主体 / 举证 / 边界和一页拒绝话术合成一张卡方便你动手前先过一遍。放在资料包里扫码即可获取附表 A本文引用事实与官方出处对照表法条类引用逐字摘录未改一字。版本口径以截至 2026-10-10核验的现行文本为准。AU 编号取自本批事实文件表 A-补5L 编号取自共用台账 2026-10-01 条号勘误节。编号事实要点 / 逐字出处本文位置AU01禁令条款现行为第二十九条旧条号已整体后移逐字三层结构见第 5.1 节引文共用台账 2026-10-01 节第三节第 5.1 节AU02第二十八条逐字「开展网络安全认证、检测、风险评估等活动向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息应当遵守国家有关规定。」共用台账 2026-10-01 节第三节第 5.2 节AU03第六十五条违反第二十八条的罚则逐字「违反本法第二十八条规定开展网络安全认证、检测、风险评估等活动或者向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息的由有关主管部门责令改正给予警告可以处一万元以上十万元以下罚款拒不改正或者情节严重的处十万元以上一百万元以下罚款并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。……」第二款从略共用台账 2026-10-01 节第三节第 5.3 节正文只点名层级AU04第六十六条违反第二十九条的罚则·拘留与禁业逐字「违反本法第二十九条规定从事危害网络安全的活动或者提供专门用于从事危害网络安全活动的程序、工具或者为他人从事危害网络安全的活动提供技术支持、广告推广、支付结算等帮助尚不构成犯罪的由公安机关没收违法所得处五日以下拘留可以并处五万元以上五十万元以下罚款情节较重的处五日以上十五日以下拘留可以并处十万元以上一百万元以下罚款。……违反本法第二十九条规定受到治安管理处罚的人员五年内不得从事网络安全管理和网络运营关键岗位的工作受到刑事处罚的人员终身不得从事网络安全管理和网络运营关键岗位的工作。」共用台账 2026-10-01 节第三节第 5.3 节、第 7.3 节AU05《刑法》第二百八十五条非法侵入计算机信息系统罪非法获取计算机信息系统数据、非法控制计算机信息系统罪提供侵入、非法控制计算机信息系统程序、工具罪与第二百八十六条破坏计算机信息系统罪共用台账刑法条名条目第 5.3 节只点条名AU07现行《网络安全法》共7 章 81 条生效日条目为第八十一条「本法自2017年6月1日起施行」2026-01-01 是修改决定的施行日两个日期不可混写共用台账 2026-10-01 节第一节 L04第 5.1 节AU08该账号已发文章中四处明文声明本文不覆盖众测平台、企业 SRC、授权测试项目等场景故本轴属主动留白填它不构成撞题本机正文核查09-16-05、09-18-05、09-20-01、09-24-01 篇末第 7.3 节AU09本轴不写任何某平台规则赛事规则、在线靶机平台条款、SRC 项目规则本次均未核验只作授权从哪里来的方法论对象不列具体平台、不写平台条款内容本批边界声明第 2、3、4 章L01修改决定由第十四届全国人大常委会第十八次会议于2025-10-28 通过主席令第六十一号公布自 2026-01-01 起施行共用台账 2026-10-01 节第一节第 7.3 节L02修改决定收尾逐字「本决定自2026年1月1日起施行。《中华人民共和国网络安全法》根据本决定作相应修改并对条文顺序作相应调整重新公布。」共用台账 2026-10-01 节第一节第 5.1 节、第 7.3 节附表 B术语速查表术语一句话解释本文位置授权主体对某套系统有处分权、能代表它作出允许的一方说不出名字就等于没落实第 1、2、3、4 章举证能把被允许落到一件写明对象与范围、可留存的东西上第 1、4、6 章边界允许做到哪一步为止边界画不清责任就落不下去第 1、4、6 章停手点三件事里有任何一件答不上来时把动作停在讲思路这一步第 1、2、6 章独立环境专为本次考核搭建、只属于这次考核的一台环境授权范围仅限它本身第 2 章禁业一定期限内或终身不得从事网络安全管理和网络运营关键岗位见第六十六条第 5.3、7.3 节写在最后这篇用到的资料写这篇文章时我把面试让你验证一个站反复想了几遍最后发现能回答的只有三件事——授权主体是谁、拿什么举证、边界画在哪。顺手也整理了几份配套的东西靶场环境对照表DVWA、upload-labs 在 Windows / macOS / Linux 三平台的可行性与推荐路径Web 安全学习路线图从基础打牢到安全管理四个阶段各学什么常用靶场清单每个靶场练什么、适合哪个阶段资料是我自己整理的放在下面这个码上扫码即可获取添加时备注「靶场」优先通过。拿到之后建议先看环境对照表那一份把练习环境先立在自己这边再回头对照这篇里的三件事。