# eWPT 是一项实用的专业级红队认证，可模拟现实世界中使用的技能。
# 考试
# INE Security 的 eWPT 适用于专业级渗透测试人员，可验证个人是否具备担任 Web 应用程序渗透测试人员所需的知识、技能和能力。
该认证考试涵盖 Web 应用程序渗透测试流程和方法、Web 应用程序分析和检查等等。有关完整说明，请参阅下面的考试目标。
该考试旨在成为具有 Web 应用程序渗透测试基础经验的人员的里程碑式认证，模拟现实世界中使用的技能。这项考试真正表明考生具备成为高绩效渗透测试团队的一员所需的素质。
# 考试目标
# eWPT 评估和认证个人在 Web 应用程序渗透测试流程和方法 (10%)、信息收集和侦察 (10%)、Web 应用程序分析和检查 (10%)、Web 应用程序漏洞评估 (15%)、Web 方面的技能应用程序安全测试 (25%)、常见 Web 应用程序漏洞的手动利用 (20%) 和 Web 服务安全测试 (10%)，测试掌握以下目标：
- 根据方法论、行业标准最佳实践准确评估 Web 应用程序
- 根据 OWASP Web 安全测试指南识别 Web 应用程序中的漏洞
- 使用被动侦察和 OSINT 技术从网站提取信息
- 提取有关目标组织的域、子域和 IP 地址的信息
- 检查 Web 服务器元文件的信息暴露情况
- 识别给定域上运行的 Web 服务器技术的类型和版本
- 识别 Web 应用程序中使用的特定技术或框架
- 分析 Web 应用程序的结构以识别潜在的攻击向量
- 找到通过正常浏览无法访问的隐藏文件和目录
- 识别和利用因 HTTP 方法执行不当而导致的漏洞
- 识别并利用 Web 服务器中常见的错误配置
- 测试 Web 应用程序的默认凭据和弱密码
- 绕过弱 / 损坏的身份验证机制
- 识别信息泄露漏洞
- 识别并利用目录遍历漏洞进行信息泄露
- 识别并利用文件上传漏洞进行远程代码执行
- 识别并利用本地文件包含 (LFI) 和远程文件包含 (RFI) 漏洞
- 识别并利用会话管理漏洞
- 利用易受攻击和过时的 Web 应用程序组件
- 对登录表单执行暴力攻击
- 识别并利用命令注入漏洞进行远程代码执行
- 识别并利用反射型 XSS 漏洞
- 识别并利用存储型 XSS 漏洞
- 识别和利用 SQL 注入漏洞
- 识别并利用内容管理系统中的漏洞
- 从后端数据库提取信息和凭证
- 识别并枚举来自 Web 服务的信息
- 利用易受攻击的 Web 服务
# 适合谁
# eWPT 是针对对网络、系统有基本了解并对渗透测试感兴趣的个人的认证。任何人都可以尝试认证考试；然而，它的设计目的是：
- 初级渗透测试员
- Web 应用程序渗透测试仪
- Web 应用程序安全专业人员
- 网络应用程序开发人员
- 信息技术专业人士
