qq_43305605的博客

黑盒模式对于被测系统内部细节一概不知。但是测试者会收集系统相关的信息，包括网络上已经公开的信息。包括但不限于比如网站应用介绍，暴露的公开API，市场上其客户或者用户的信息，以及一些员工在社交媒体上暴露的关于系统的信息。根据这些信息进行一些可能的渗透测试，比如一些员工或者客户可能在社交媒体或者BBS上贴出了系统存在的bug或者一些漏洞。测试者可以利用这些已知的问题或漏洞进行渗透。灰盒模式这种模式下，测试者只有有限的系统内部权限。灰盒测试的目的是为了测试系统是不是能很好地抵御这些渗透攻击。测试者目的是通过

社交工程学浅谈关于社交工程学的一个比较正式的定义是，它是操作人的行为以达到获取信息或物理访问权限的目的的一种艺术。所以，要达到他的这种目的，他会模仿，效仿，乔装打扮自己的各种言行，以达到获取信任，进而达到攻击的目的。常见社交工程攻击的类型发送短信/邮件，告诉你中大奖了，让你x月x日前办理领取手续。但是当你办理的时候会提示你先缴纳税费等费用，目的就是为了拿到这些费用，割完韭菜就拉黑。这种情况一般还要求受害人线上办理，是无人值守的，这种也让后续的损失追讨变的比较艰难。通过非技术这种渗透手段，通过人际交

渗透测试的一般做法很多企业应用，特别是web应用，利用商业的漏洞扫描工具做安全/渗透测试比较多。利用这种商业性漏洞扫描工具进行自动化扫描的比较多。但是由于一些不太确定的原因，自动化扫描出来的结果有很多是误报，结果是不太准确的。反而在企业中，进行手动做渗透测试的不多。如果不手动去排查漏洞，其实可能会漏掉一些比较严重的漏洞。那么为什么手动渗透测试比较重要呢？只有自己是最了解自己的，企业内部专人去手动排查安全漏洞，会比较有侧重点，这样就可以达到事半功倍的效果。自动化扫描，只是基于一些既定规则的扫描，扫描

什么是渗透测试首先我们需要了解，为什么要做渗透测试。现在互联网是我们生活离不开的一个东西，它大大方便了生活，提高了效率。比如网络转载-支付宝/微信转账，真的是一种秒操作，很快很方便。但是同时伴随着的可能就隐形的安全隐患，比如说现在的网络诈骗。所以在发布一款产品时，需要做一些测试，去探测产品中有没有一些安全漏洞或者隐患。而这些漏洞或者隐患会造成用户/公司损失。所以渗透测试的主要目的是为了测试，是否系统或者产品内部有安全方面的问题。渗透测试人员主要做什么简单来说，渗透测试人员主要是利用自己的技术发现系统或