渗透测试基础

• 不积跬步无以至千里，不积小流无以成江海

• 渗透测试概念

  • 渗透测试是一种通过模拟攻击的技术与方法，挫败目标系统的安全控制措施并获得控制访问权的安全测试方法。
  • 网络渗透测试主要依据CVE(Common Vulnerabilities and Exposures)已经发现的安全漏洞，模拟入侵者的攻击方法对网站应用、服务器系统和网络设备进行非破坏性质的攻击性测试。

  • 必要性：

    • 新系统可能存在未知风险
    • 未雨绸缪
    • 专业渗透测试之后，即使未攻破系统，也可证明之前的防御措施是有效的。
    • 专业渗透测试可以有效评估系统的安全状况，提出合理改进方案。

  • 渗透测试方法分类

    • 黑盒测试
    • 白盒测试
    • 灰盒测试

  • 渗透测试 按目标分类

    • 主机操作系统渗透测试
    • 数据库系统渗透测试
    • 应用系统渗透测试
    • 网络设备渗透测试
    • 内网渗透测试
    • 外网渗透测试

  • 渗透测试过程

    • 前期交互
      • 确定范围：时间估计、范围勘定、问答