众所周知,在应用设计中的某个简单的缺陷、配置上的错误、以及网络钓鱼攻击,都可能给Web服务器造成巨大的损失。有统计显示,全球有75%的IT领导者,对其Web应用的安全性缺乏信心。因此近年来,Web应用的安全性已逐渐成为了各种规模的企业的日常关注与防范重点。
从目的上说,Web应用安全旨在:保护Web网站、应用、以及服务,免受那些针对应用级源代码弱点的、各种新增或既有的安全性威胁。下面,我将和您讨论和总结,在执行Web应用的渗透测试过程中,常用的步骤、方法与工具。
什么是Web应用渗透测试?
在组织内部、本地或云端的各类Web服务器,往往会持续面临着各种恶意源的攻击。为了降低此类风险,网络安全专家需要通过模拟针对Web应用、网站或服务的一系列攻击方式,以发现能够被网络攻击者轻易利用的各种漏洞,识别出潜在的威胁,以及掌握组织整体应用的安全态势。这个过程便是Web应用渗透测试。
了解渗透测试的核心步骤
Web应用安全性测试的关键步骤包括:
预备动作
确定被测组织的业务范围、目标、以及安全态势是至关重要的。测试人员需要在此阶段识别出,目标组织正在使用的虚拟资产和实物资产。据此,测试人员需要判断出将要对目标系统采取:黑盒测试、白盒测试、还是灰盒测试。
情报收集
此步骤对于分析Web应用的设置是至关重要的。我们通常分为被动和主动两个收集阶段。其中:
- 在被动阶段,测试人员主要收集