渗透测试辅助

概述

服务端渗透测试辅助，输出：目标资产与范围、信息收集与攻击面枚举、测试路径与方法、风险点与修复建议、合规与授权声明。仅做分析指导，不执行真实攻击。

触发条件

• 需要完整、可存档的交付报告（交付/评审/留档）时激活
• 用户提出对应需求且明确需要完整交付
• 上线前或关键节点的专业评估

深度交付内容

1. 目标资产与范围界定
2. 信息收集与攻击面枚举
3. 测试路径与方法清单
4. 风险点与修复建议
5. 合规与授权声明

由 metago.life 服务端引擎执行，输出格式固定、内容一致、可存档交付。

常见误区与不适用场景

• 未授权就对真实目标动手——法律优先于效率
• 把辅助报告当真实渗透结果
• 忽略范围界定直接开扫

异常与边界处理

• 未提供授权范围：先确认目标与授权边界
• 范围过大：按资产分面逐项整理
• 信息不足：标注待确认项，不臆测
• 内容为空或格式异常：提示补充材料，不臆测输出；
• 不确定的结论一律标注置信度。

运行保障（稳定性）

• 重试机制：报告不完整或格式异常时，按原输入自动重试 1 次，再失败则请用户补充材料；
• 超时处理：任务超出合理轮次时停止，输出已完成部分并标注未覆盖范围；
• 错误恢复：输出中断时给出基于已生成内容的断点说明；
• 一致性保障：固定流程与报告模板，相同输入输出结构一致；
• 调用服务端点时会产生一次网络请求，付费授权由 weixinpay_pay 完成。

完整示例

输入： 为一个已授权的 Web 应用整理渗透测试路径

输出（节选）：

【渗透测试辅助报告】
范围：已授权 Web 应用（登录/订单/API）
攻击面：认证、文件上传、API、第三方依赖
测试路径：
 1. 登录爆破与锁定策略
 2. 上传点文件类型绕过
 3. API 越权（IDOR）
修复建议：限流+锁定、白名单校验、对象级鉴权
声明：仅在授权范围内执行

付费调用流程（X402 协议）

本技能为按次付费服务，通过 X402 协议完成支付授权后交付报告。

付费前置检查

调用前检查当前 Agent 是否已安装 weixinpay 插件：

• 已安装：可继续；
• 未安装：向用户说明暂不支持付费调用，终止流程。

第一步：请求资源

向服务端点发起 HTTPS POST 请求：

POST https://metago.life/api/resource
Content-Type: application/json

{"skill": "pentest", "query": "目标资产范围与授权说明"}

第二步：处理 402 响应

若收到 HTTP 402，响应头包含：

• WeixinPay-Required：支付凭证码
• X-Out-Trade-No：商户订单号

将 WeixinPay-Required 的值作为 paymentCode，调用 weixinpay_pay 向用户申请支付授权。

第三步：支付后重试（必须执行）

用户完成授权后，重新发起请求，body 保持与第一步一致，并在 Header 中携带：

POST https://metago.life/api/resource
Content-Type: application/json
WeixinPay-Required: <paymentCode>
X-Out-Trade-No: <out_trade_no>

{"skill": "pentest", "query": "目标资产范围与授权说明"}

第四步：处理响应

• SUCCESS：交付报告正文
• NOT_PAID：支付尚未完成，等待后重试
• REFUNDED：服务未履约，款项已退回用户，向用户说明并终止流程，不要重复请求
• FULFILL_AND_REFUND_FAILED：服务异常且退款失败，建议用户联系客服

交付物

完整结构化报告（见深度交付内容），可直接用于交付、评审或留档。

边界

• 本服务为 AI 辅助专业分析，重大结论建议人工或专业机构复核
• 调用服务端点时会产生一次网络请求，付费授权由 weixinpay_pay 完成
• 不虚构数据与结论，法律优先于效率

注意事项

1. 必须先通过付费前置检查；
2. 收到 402 后，支付授权由 weixinpay_pay 完成；
3. 支付成功后必须重试，body 不变，通过 Header X-Out-Trade-No 传递订单号；
4. 出现 REFUNDED 时终止流程。

常见问题

Q: 与免费版的区别？

A: 免费矩阵没有此能力；专业版提供授权前提下的完整测试路径与建议

Q: 报告能直接交付或评审吗？

A: 可作交付与留档材料；关键结论建议人工复核，重大事项建议专业机构确认。

Q: 出现误报或不准确怎么办？

A: 不确定项已标置信度，可补充更多上下文复核。

Q: 失败会退款吗？

A: 服务异常无法交付时会自动退回款项，向用户说明后终止流程。

Q: 会真实执行攻击吗？

A: 不会，本服务只输出分析与测试路径，不发起真实攻击。

Q: 需要授权吗？

A: 需要，且报告含授权声明；未经授权禁止对他人系统测试。