網絡安全滲透測試概述
滲透測試的本質是一個不斷提升自己權限的過程。黑客通過對目標系統權限的提升，可以獲取更多關于目標系統的敏感信息，我們也可以通過滲透測試對目標系統進行信息安全風險評估。滲透測試最重要的環節是對目標系統的Web應用進行滲透測試，找出Web應用的安全漏洞，因此，滲透測試是做好Web安全防護的第一步，亦是進一步進行縱深防御的“敲門磚”。
1、滲透測試概念
什么是滲透測試?滲透測試英文名為penetration test，簡稱為pentest。滲透測試并沒有一個標準的定義，一些安全組織達成共識的通用說法是，滲透測試指模擬攻擊者入侵來評估計算機系統安全的行為，是一種授權的行為。這個過程包括對系統的任何弱點、技術缺陷或漏洞的主動分析，這個分析是從一個攻擊者可能存在的位置來進行的，并且在這個位置有條件主動利用安全漏洞。換言之，滲透測試指滲透測試人員在不同的位置(比如從內網、外網等位置)利用各種手段對某個特定網絡進行測試，以發現和挖掘系統中存在的漏洞，然后輸出滲透測試報告，并提交給網絡所有者。網絡所有者根據滲透測試人員提供的滲透測試報告，可以清晰知曉系統中存在的安全隱患和問題。滲透測試還具有兩個明顯的特點：滲透測試是一個漸進的、逐步深入的、不斷提升權限的過程;滲透測試是選擇不影響業務系統正常運行的攻擊方法進行的測試。試想：若您的公司實時更新網絡安全策略，也做好了相關的網絡安全加固，部署了相關的安全產品，已確保了所有安全問題都得到了解決，為什么還要請網絡安全公司進行滲透測試呢?因為滲透測試能夠獨立地檢測你網絡的安全隱患和問題，換言之，即給您的系統安了一雙“火眼金睛”!
2、滲透測試流程
滲透測試一般分為黑盒測試與白盒測試，大多數情況下都是黑盒測試。滲透測試的流程一般分為這幾個步驟：信息收集;制訂滲透測試方案并實施;各種渠道積累目標信息、分析信息及實施進一步攻擊;獲取目標系統權限及提升目標系統權限;進入內網并進行域控滲透，控制整個內網;對目標提出安全建議。這是滲透測試的一些流程，每一步都是決定能否繼續滲透的關鍵。
3、滲透測試思路
我們以“以攻促防”的思想為前提，大致敘述下滲透測試的思路。我們敘述它的主要目的是讓大家學會從攻擊者的角度促進網絡安全的防御，這樣，大家才能夠真正地意識到網絡攻擊的危害性，能夠更好地保護自己的網絡和保護自己的網絡中的重要資產信息。以下是在平時進行滲透測試的時候，習慣使用的一些滲透測試思路，這些思路可幫助滲透測試工程師迅速找到突破口，滲透測試思路如表1所示。
表1 滲透測試思路
聲明：本文來自計算機與網絡安全微信公眾號，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表萬方安全立場，轉載目的在于傳遞更多信息。如有侵權，請聯系刪除。
溫馨提示：沒有獲得授權就對他人或者其他公司的網站或者系統進行滲透測試屬于違法行為，千萬不要這樣子做。
