2021-05-17

最新推荐文章于 2021-11-17 11:36:58 发布

是壮不是胖522

最新推荐文章于 2021-11-17 11:36:58 发布

阅读量165

点赞数

分类专栏：笔记文章标签：信息安全

本文链接：https://blog.csdn.net/lkwdoitnow/article/details/116931473

版权

笔记专栏收录该内容

8 篇文章 0 订阅

订阅专栏

网络安全的定义

网络安全的基本要素

1.保密性
2.完整性
3.可用性
4.可控性
5.不可否认性

网络脆弱性的原因

1.开放的网络环境
2.协议本身的脆弱性
3.操作系统的漏洞
4.人为因素

渗透测试流程

PTES渗透测试执行标准

前期交互阶段——情报搜集阶段——威胁建模阶段——漏洞分析阶段——渗透攻击阶段——后渗透攻击阶段——撰写报告阶段

**·前期交互阶段：**在前期交互阶段，渗透测试团队与客户组织进行交互讨论，最重要的是确定渗透测试的范围、目标、限制条件以及服务合同细节。
**·情报搜集阶段：**在目标范围确定之后，将进入情报搜集阶段，渗透测试团队可以利用各种信息来源与搜集技术方法，尝试获取更多关于目标组织网络拓扑、系统配置与安全防御措施的信息。
**·威胁建模阶段：**在搜集到情报信息之后，渗透测试团队的成员们停下敲击键盘，大家聚到一起针对获取的信息进行威胁建模与攻击规划。这是渗透测试过程中非常重要，但很容易被忽视的一个关键点。
**·漏洞分析阶段：**在确定最可行的攻击通道之后，接下来需要考虑如何取得目标系统的访问控制权，即漏洞分析。
**·渗透攻击阶段：**渗透攻击是渗透测试过程中最具有魅力的环节。在此环节中，渗透测试团队需要利用他们所找出的目标系统安全漏洞，来真正入侵系统当中，获得访问权限。
**·后渗透攻击阶段：**后渗透攻击是整个渗透测试过程中最能够体现渗透测试团队创造力和技术能力的环节。前面的环节可以说都是在按部就班地完成非常普遍的目标，而在这个环节中，需要渗透测试团队根据目标组织的业务经营模式、保护资产形式与安全防御计划的不同特点，自主设计出攻击目标，识别关键基础设施，并寻找客户组织最具价值和尝试安全保护的信息和资产。最终达成能够对客户组织造成最重要业务影响的攻击途径。
**·撰写报告阶段：**渗透测试过程最终向客户组织提交，取得认可并成功获得合同付款的就是一份渗透测试报告。这份报告凝聚了之前所有阶段之中渗透测试团队所获取的关键情报信息，探测和发掘出的系统安全漏洞、成功渗透攻击的过程，以及造成业务影响后果的攻击途径，同时还要站在防御者的角度上，帮助他们分析安全防御体系中的薄弱环节、存在的问题，以及修补与升级技术方案。

实际渗透测试中的流程

1.明确目标
当拿到一个合法的渗透测试项目时，我们首先应明确客户要求我们进行渗透测试的范围以及整体项目的时间。
2.信息收集
子域名、系统版本、架构、真是IP、whois查询、历史漏洞查询、指纹识别等。
3.漏洞发现
通过漏洞扫描软件结合手动挖掘发现常规的web、系统等漏洞。
4.漏洞利用
由浅入深，旁敲侧击，尽可能的将漏洞的价值发挥到最大化。
5.后渗透
包括内网渗透，权限维持，权限提升，读取用户hash，这里一定要把握好尺度。
6.报告文档阶段
根据之前测试获取的漏洞及企业要求去编写最终的渗透测试报告。