黑盒模式
对于被测系统内部细节一概不知。但是测试者会收集系统相关的信息,包括网络上已经公开的信息。包括但不限于比如网站应用介绍,暴露的公开API,市场上其客户或者用户的信息,以及一些员工在社交媒体上暴露的关于系统的信息。根据这些信息进行一些可能的渗透测试,比如一些员工或者客户可能在社交媒体或者BBS上贴出了系统存在的bug或者一些漏洞。测试者可以利用这些已知的问题或漏洞进行渗透。
灰盒模式
这种模式下,测试者只有有限的系统内部权限。灰盒测试的目的是为了测试系统是不是能很好地抵御这些渗透攻击。测试者目的是通过这些渗透攻击获取系统的管理员权限或者资格,进而可以去破坏系统。
白盒模式
这种模式下,测试者拥有系统的完全的权限,也有查看系统源代码和网络架构的权限,能够看到系统中数据的处理过程和数据的流动情况。白盒测试的目的,是为了测试系统在数据丢失的情况下,系统隐含的系统漏洞和弱点,进而是不是可以对客户或系统造成伤害。所以很多时候在做白盒模式的渗透测试时需要从源代码入手,再结合操作系统和网络接口。进而分析潜在的漏洞。
综上这三种形式是常用的渗透测试的模式。 但是实际的操作中,会把这三种模式结合起来。这样才能获取测试的最大价值。