渗透测试是为了证明网络防御按照预期计划正常运行而提供的一种机制,是通过模拟恶意的攻击方法,来评估计算机网络安全的一种评估方法,针对于系统的任何弱点,技术缺陷或者漏洞的主动分析。也就是说,渗透测试是指渗透人员在不同的位置利用各种手段对特定的网络进行测试和挖掘系统中存在的漏洞,然后输出测试渗透报告,网站所有者根据渗透人员提供的渗透测试报告知晓系统中存在的安全隐患和问题。
渗透测试包括以下这些阶段:
-
情报的搜集阶段:情报是指目标网络,服务器,应用程序等的所有信息,如果是黑盒测试,信息搜集阶段是最重要的一个阶段,一般通过被动扫描或主动扫描两种技术。
-
威胁建模阶段:如果把渗透测试看做一场对抗赛,那么威胁建模就相当于指定策略。
-
漏洞分析阶段:漏洞分析阶段是从目标网络中发现漏洞的过程。这个阶段我们会根据之前搜集的目标网络的操作系统,开放端口及服务程序等信息,查找和分析目标网络中的漏洞。这个阶段如果全靠人手工进行,那么会非常累。不过 Kali Linux 2 提供了大量的网络和应用漏洞评估工具。不光是网络的漏洞,还要考虑人的因素长时间研究目标人员的心理,以便对其实施欺骗,从而达到渗透目标。
-
漏洞利用阶段:找到目标网络的漏洞后,就可以对其进行测试了。在漏洞利用阶段我们关注的重点是,如果绕过网络的安全机制来控制目标网络或访问目标资源。如果我们在漏洞分析阶段顺利完成任务,那么我们就可以在此阶段准确,顺利的进行。漏洞利用阶段的渗透测试应该有精确的范围。这个阶段我们主要的目标就是获取我们之前评估的重要的资产。进行渗透测试时还需要考虑成功的概率和对目标网络造成的最大破坏。
-
后渗透攻击阶段:后渗透攻击阶段和漏洞利用阶段连接十分密切,作为渗透测试人员,必须尽可能地将目标网络渗透后可能产生的结果模拟出来。
-
报告阶段:报告阶段是渗透测试最后一个阶段。要简单,直接且尽量避免大量专业术语向客户汇报测试目标网络出现的问题,以及可能产生的风险。这份报告应该包括目标网络最重要的威胁,使用渗透数据产生的表格和图标,以及对目标网络存在问题的修复方案,当前安全机制的改进建议等。
如果你对网络安全入门感兴趣,那么你点击这里👉CSDN大礼包:《黑客&网络安全入门&进阶学习资源包》免费分享
如果你对网络安全感兴趣,学习资源免费分享,保证100%免费!!!(嘿客入门教程)
👉网安(嘿客)全套学习视频👈
我们在看视频学习的时候,不能光动眼动脑不动手,比较科学的学习方法是在理解之后运用它们,这时候练手项目就很适合了。
👉网安(嘿客红蓝对抗)所有方向的学习路线👈
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
学习资料工具包
压箱底的好资料,全面地介绍网络安全的基础理论,包括逆向、八层网络防御、汇编语言、白帽子web安全、密码学、网络安全协议等,将基础理论和主流工具的应用实践紧密结合,有利于读者理解各种主流工具背后的实现机制。
面试题资料
独家渠道收集京东、360、天融信等公司测试题!进大厂指日可待!
👉嘿客必备开发工具👈
工欲善其事必先利其器。学习嘿客常用的开发软件都在这里了,给大家节省了很多时间。