滲透測試（Penetration Testing），也稱(chēng)為Pen Testing，是測試計算機系統、網(wǎng)絡(luò )或Web應用程序以發(fā)現攻擊者可能利用的安全漏洞的實(shí)踐。滲透測試可以通過(guò)軟件應用自動(dòng)化或手動(dòng)執行。無(wú)論哪種方式，該過(guò)程都包括在測試之前收集關(guān)于目標的信息，識別可能的入口點(diǎn)，試圖闖入（虛擬的或真實(shí)的）并報告結果。
讓我們看看WIKI上的英文解釋?zhuān)ǚg后）
滲透測試是對計算機系統的授權模擬攻擊，用于評估系統的安全性。執行測試以識別兩個(gè)缺點(diǎn)（也稱(chēng)為漏洞），包括未授權方訪(fǎng)問(wèn)系統的特征和數據的可能性，以及優(yōu)點(diǎn)，使得能夠完成完整的風(fēng)險評估。該過(guò)程通常識別目標系統和特定目標，然后審查可用信息，并采取各種手段來(lái)實(shí)現該目標。滲透測試目標可以是白盒（提供背景和系統信息）或黑盒（只提供基本信息或除了公司名稱(chēng)不提供任何信息）?；液写┩笢y試是二者的結合（其中目標有限的知識與審計人員共享）。滲透測試可以幫助確定一個(gè)系統是否容易受到攻擊，如果防御足夠，以及測試是否打敗了哪些防御（如果有的話(huà)）。滲透測試發(fā)現的安全問(wèn)題應該報告給系統所有者。滲透測試報告也可以評估對組織的潛在影響，并提出降低風(fēng)險的對策。
美國國家網(wǎng)絡(luò )安全中心（National Cyber Security Center）將滲透測試描述如下：“一種方法，通過(guò)試圖破壞某個(gè)IT系統的部分或全部安全性，使用與對手相同的工具和技術(shù)，來(lái)獲得對該IT系統的安全性的保證?！?/p>
滲透測試的目標根據針對任何給定參與的已批準活動(dòng)的類(lèi)型而有所不同，其中主要目標是發(fā)現可被邪惡行為者利用的漏洞，并將這些漏洞與建議的緩解策略一起通知客戶(hù)。 滲透測試是全面安全審計的一個(gè)組成部分。例如，支付卡行業(yè)數據安全標準要求在定期日程表和系統更改之后進(jìn)行滲透測試。缺陷假設方法是一種系統分析和滲透預測技術(shù)，其中通過(guò)對系統的規范和文檔的分析來(lái)編譯軟件系統中的假設缺陷列表。然后，根據所估計的缺陷實(shí)際存在的概率，以及在控制或折衷的范圍內易于利用該漏洞，對假設缺陷列表進(jìn)行優(yōu)先級排序。優(yōu)先級列表用于指導系統的實(shí)際測試。
從滲透測試的定義描述可以看出其目的。例如：Web應用程序滲透測試是通過(guò)在內部或外部模擬未經(jīng)授權的攻擊來(lái)訪(fǎng)問(wèn)敏感數據的。網(wǎng)絡(luò )滲透幫助終端用戶(hù)發(fā)現黑客從因特網(wǎng)訪(fǎng)問(wèn)數據的可能性，發(fā)現他們的電子郵件服務(wù)器的安全性，并且也了解網(wǎng)站托管站點(diǎn)和服務(wù)器的安全程度。當我們談?wù)摪踩珪r(shí)，我們聽(tīng)到的最常見(jiàn)的詞是漏洞。當我剛開(kāi)始做安全測試的時(shí)候，我經(jīng)常對這個(gè)詞感到困惑，我相信你們中的很多人會(huì )陷入同樣的困境。
什么是漏洞（Vulnerability）？
可以這樣簡(jiǎn)單的解釋?zhuān)┒词怯糜谧R別系統中可能使系統暴露于安全威脅的缺陷的術(shù)語(yǔ)。
漏洞掃描和滲透測試有什么區別？
漏洞掃描允許用戶(hù)發(fā)現應用程序中的已知弱點(diǎn)，并定義修復和提高應用程序整體安全性的方法。它基本上查明是否安裝了安全補丁，系統是否正確地配置為使攻擊變得困難。而滲透測試主要模擬實(shí)時(shí)系統，幫助用戶(hù)了解系統是否可以被未經(jīng)授權的用戶(hù)訪(fǎng)問(wèn)，如果是，那么會(huì )造成什么損害，以及哪些數據等。因此，漏洞掃描是一種偵測控制方法，它提出了改進(jìn)安全程序和確保已知缺陷不重新出現的方法，而滲透測試是一種預防控制方法，它給出了系統現有安全層的總體視圖。雖然，這兩種方法都有其重要性，但它將取決于作為測試的一部分真正期望的內容。作為測試人員，在我們開(kāi)始測試之前，必須明確測試的目的。如果您清楚目標，那么您可以很好地定義是否需要進(jìn)行漏洞掃描或滲透測試。
實(shí)施滲透測試的重要性如下：
如果你看看當前的市場(chǎng)需求，手機使用量已經(jīng)急劇增加，這正成為攻擊的主要潛在因素。通過(guò)手機訪(fǎng)問(wèn)網(wǎng)站容易受到更頻繁的攻擊，從而破壞數據。滲透測試因此變得非常重要，以確保我們建立一個(gè)安全的系統，用戶(hù)可以使用，沒(méi)有任何擔心黑客或數據丟失。
該方法只是一組關(guān)于應該如何進(jìn)行測試的安全行業(yè)指南。有一些建立良好且著(zhù)名的方法和標準可以用于測試，但是由于每個(gè)Web應用程序需要執行不同類(lèi)型的測試，所以測試人員可以通過(guò)參考市場(chǎng)上可用的標準來(lái)創(chuàng )建他們自己的方法。
一些安全性測試方法論和標準如下：
下面列出了一些可以作為Web應用程序滲透測試（WAPT）的一部分進(jìn)行測試的測試場(chǎng)景：
盡管我已經(jīng)提到了該列表，但是測試人員不應該盲目地創(chuàng )建基于上述傳統標準的測試方法。
這里有一個(gè)例子來(lái)證明我為什么這么說(shuō)。假設您被要求深入測試一個(gè)電子商務(wù)網(wǎng)站，現在考慮一下是否可以使用傳統的OWASP方法（如XSS、SQL注入等）來(lái)識別電子商務(wù)網(wǎng)站的所有漏洞。答案是否定的，因為與其他網(wǎng)站相比，電子商務(wù)工作在非常不同的平臺和技術(shù)上。為了使您的滲透測試電子商務(wù)網(wǎng)站有效，測試人員應該設計一種方法，包括缺陷如訂單管理，優(yōu)惠券和獎勵管理，支付網(wǎng)關(guān)集成和內容管理系統集成。因此，在決定方法之前，要非常確定要測試哪種類(lèi)型的網(wǎng)站，以及哪種方法將有助于找到最大的漏洞。
Web應用程序可以通過(guò)兩種方式進(jìn)行滲透測試?？梢栽O計測試來(lái)模擬內部或外部攻擊。
#1）內部滲透測試
顧名思義，內部筆測試是在組織內部通過(guò)內部網(wǎng)絡(luò )（例如：內部局域網(wǎng)）來(lái)完成的，因此它包括測試在內部網(wǎng)上托管的Web應用程序。這有助于發(fā)現企業(yè)防火墻內是否存在漏洞。我們總是相信攻擊只能在外部發(fā)生，而且很多時(shí)候內部滲透測試被忽略或者沒(méi)有得到重視。基本上，它包括不滿(mǎn)的雇員或承包商的惡意雇員攻擊，這些雇員或承包商可能已經(jīng)辭職，但知道內部安全策略和密碼，釣魚(yú)攻擊的模擬，以及使用用戶(hù)特權或誤用解鎖終端的攻擊。
#2）外部滲透性測試
這些攻擊是在組織外部進(jìn)行的，包括測試托管在互聯(lián)網(wǎng)上的Web應用程序。測試人員的行為就像黑客一樣，他們不太了解內部系統。為了模擬這種攻擊，測試人員得到目標系統的IP而不提供任何其他信息。他們需要搜索和掃描公共網(wǎng)頁(yè)，并找到我們關(guān)于目標主機的信息，然后危害找到的主機。基本上，它包括測試服務(wù)器、防火墻和IDS。
這可以包括三個(gè)階段
能手動(dòng)執行滲透測試嗎，還是總是通過(guò)使用工具進(jìn)行自動(dòng)化。毫無(wú)疑問(wèn)，我想你們大多數人都在談?wù)撟詣?dòng)化。
這是真的，因為自動(dòng)化帶來(lái)了速度，避免了人工錯誤、出色的覆蓋率以及其他一些好處，但是就滲透測試而言，它確實(shí)需要我們執行一些手工測試。手動(dòng)測試有助于發(fā)現與業(yè)務(wù)邏輯相關(guān)的漏洞，減少誤報。 工具容易給出許多誤報，因此需要人工干預來(lái)確定它們是否是真正的漏洞。
創(chuàng )建工具是為了自動(dòng)化我們的測試工作。以下是一些可用于Pentest的工具：
Burp Suite 和 NetSparker 是我非常喜歡的工具。
理想情況下，滲透測試可以幫助我們創(chuàng )建安全的軟件。但這是一個(gè)非常耗費成本的測試方法，所以測試的頻率可以不必太頻繁。
附：
The process of penetration testing may be simplified into five phases
偵查（嗅探）收集關(guān)于目標系統的重要信息的行為。此信息可用于更好地攻擊目標。例如，開(kāi)源搜索引擎可用于查找可用于社會(huì )工程攻 擊的數據。
使用技術(shù)工具來(lái)進(jìn)一步提高攻擊者對系統的知識。
使用在偵察（嗅探）和掃描階段收集的數據，攻擊者可以使用有效負載來(lái)利用目標系統。
維護訪(fǎng)問(wèn)需要采取步驟，以便能夠持久地在目標環(huán)境中收集盡可能多的數據。
攻擊者必須清除任何破壞受害者系統的跟蹤、收集的任何類(lèi)型的數據、記錄事件，以便保持匿名。
一旦攻擊者利用了一個(gè)漏洞，他們就可以訪(fǎng)問(wèn)其他機器，因此該過(guò)程重復，即尋找新的漏洞并試圖利用它們。這個(gè)過(guò)程被稱(chēng)為-Pivoting。
（完）
聯(lián)系客服
