浅谈渗透中的黑盒测试白盒测试

初五，迎财神。天气很好，喜欢坐在桌前写东西。

距离返乡的日子又近一些了，暂停后的新征程，期待这一年大的转变。

---

说到网络安全，现在的很多安全产品都会提到几个词语，黑盒测试，白盒测试，沙箱等等。那么就了解一下几个词语的概念吧。

黑客，灰盒，白盒，来自于对软件功能性能等方面的测试。我们这里重点看在网络安全上的理解，也就是渗透测试中常会提到的三种测试。

黑盒测试：也称为外部测试。对攻击目标网络内部拓扑一无所知，完全模拟真实黑客有组织有步骤的渗透入侵过程。

特点：花费时间长、渗透测试者需要有较高的技术能力、更受推崇。

在进行黑盒测试时候，事先假定渗透测试人员先期对目标网络的内部结构和所使用的程序完全不了解，从网络外部对其网络安全进行评估。黑盒测试中需要耗费大量的时间来完成对目标信息的收集。除此之外，黑盒测试对渗透测试人员的要求也是最高的。黑盒测试依靠测试人员的能力探测获取目标系统的信息，作为一次黑盒测试的渗透测试者，通常不需要找出目标系统的所有安全漏洞，而只需要尝试找出并利用可以获取目标系统访问权代价最小的攻击路径，并保证不被检测到。

（软件中的黑客测试：测试人员完全不用考虑盒子里面的逻辑结构和具体运作，只依据程序的需求规格说明书，检查程序的功能是否符合它的功能说明，检验输出结果对不对。测试人员不了解他们正在测试的软件的内部结构和源代码。）

白盒测试：也称为内部测试。对渗透攻击目标网络非常了解，以最小代价进行系统安全探测。

特点：节省时间、无法有效测试客户的内部安全应急响应程序。

白盒测试通常需要和客户一起工作，来识别出潜在的安全风险。比如要测试某企业内部的OA系统是否安全，白盒测试是需要一个普通用户账号进行登录测试。而黑客测试，是完全没有任何内部信息资料的进行。

白盒测试的最大好处是测试者将拥有所有的内部知识。在进行白盒测试的时候，测试人员必须事先清楚的知道被测试环境的内部结构和技术细节。相比黑盒测试，白盒测试的目标是明确定义好的，因此，白盒测试无需进行目标范围定义、信息收集等操作。这种测试的目标都是某个特定业务对象，因此相比黑盒测试，白盒测试能给用户目标带来更大的价值。

（软件中的白盒测试：把测试对象看作一个打开的透明盒子。测试时，测试人员会利用程序内部的逻辑结构及有关信息，通过在不同点检查程序状态，检验程序中的每条通路是否都能按预定要求进行正确工作。）

灰盒测试：可以理解为白盒测试和黑盒测试的混合测试。