1.明確方向
1）明確范疇：測試范疇，如：IP、網站域名、內外網、全站or一部分控制模塊
2）明確標準：能滲入到何種程度（發覺系統漏洞才行or再次運用系統漏洞）、限制時間、能不能改動提交、能不能漏洞利用...
總體目標系統玩法攻略、重點保護對象及特點。
是不是容許數據信息毀壞？
是不是容許阻隔業務流程正常運轉？
檢測以前是不是理應通知有關部門接口人？
接入方式？外網地址和內部網？
檢測是發現的問題即使取得成功，或是盡可能發覺多問題？
滲入全過程是否要考慮到社會工程？
3）明確要求：web應用的系統漏洞(新出來的程序流程)？業務流程邏輯漏洞（對于業務）？工作人員管理權限管理漏洞（對于工作人員、管理權限）？
根據自己的需求跟自己專業能力來決定做不做、可以做是多少
2.剖析風險性，得到受權
剖析網站滲透測試環節中可能出現的風險性，如很多數據測試的處理方法、危害正常的業務開展、網絡服務器產生異常緊急、數據信息備份與恢復、檢測財力物力成本費...
由檢測方撰寫實施意見原稿同時提交給顧客（or本企業內部領導干部）進行審查。在申報結束后，從客戶（or本企業內部領導干部）獲得對檢測方開展書面形式委托授權書，受權檢測方開展網站滲透測試。
3.信息搜集
在信息搜集環節，我們應該盡可能多的搜集關于目標web應用的所有信息，例如：開發語言的種類、云服務器種類、文件目錄的構造、所使用的開源項目、數據庫類型、全部連接網頁頁面，需要用到的架構等。
方法：積極掃描儀；對外開放檢索
