Chinaunix首页 | 论坛 | 博客
  • 博客访问: 811417
  • 博文数量: 1238
  • 博客积分: 0
  • 博客等级: 民兵
  • 技术积分: 12461
  • 用 户 组: 普通用户
  • 注册时间: 2020-11-26 14:30
个人简介

更多python、Linux、网络安全学习内容,可移步:www.oldboyedu.com或关注\"老男孩Linux\"公众号

文章分类

全部博文(1238)

文章存档

2022年(424)

2021年(734)

2020年(80)

我的朋友

分类: 网络与安全

2022-03-31 16:03:28

  渗透测试,是为了证明网络防御按照预期计划正常运行而提供的一种机制,也是一种测试应用程序、网络和计算机系统的方法,用于识别可能被利用的安全漏洞,防止未经授权的访问、更改和利用系统。那么渗透测试步骤包含什么?以下是详细的内容介绍。

  渗透测试一定要遵循软件测试基本流程,要知道测试过程和目标特殊,在具体实施步骤上主要包含以下几步:

  1、明确目标

  当测试人员拿到需要做渗透测试的项目时,首先确定测试需求,如测试是针对业务逻辑漏洞,还是针对人员管理权限漏洞等;然后确定客户要求渗透测试的范围,如ip段、域名、整站渗透或者部分模块渗透等;最后确定渗透测试规则,如能够渗透到什么程度,是确定漏洞为止还是继续利用漏洞进行更进一步的测试,是否允许破坏数据、是否能够提升权限等。

  2、收集信息

  在信息收集阶段要尽量收集关于项目软件的各种信息。比如:对于一个Web应用程序,要收集脚本类型、服务器类型、数据库类型以及项目所用到的框架、开源软件等。信息收集对于渗透测试来说非常重要,只要掌握目标程序足够多的信息,才能更好地进行漏洞检测。

  信息收集的方式可分为以下2种:主动收集、被动收集。

  3、扫描漏洞

  在这个阶段,综合分析收集到的信息,借助扫描工具对目标程序进行扫描,查找存在的安全漏洞。

  4、验证漏洞

  在扫描漏洞阶段,测试人员会得到很多关于目标程序的安全漏洞,但这些漏洞有误报,需要测试人员结合实际情况,搭建模拟测试环境对这些安全漏洞进行验证。被确认的安全漏洞才能被利用执行攻击。

  5、分析信息

  经过验证的安全漏洞就可以被利用起来向目标程序发起攻击,但是不同的安全漏洞,攻击机制不同,针对不同的安全漏洞需要进一步分析,制定一个详细的攻击计划,这样才能保证测试顺利执行。

  6、渗透攻击

  渗透攻击实际是对目标程序进行的真正攻击,为了达到测试的目的,像是获取用户账号密码、截取目标程序传输数据等。渗透测试是一次性测试,在攻击完成后能够执行清理工作。

  7、整理信息

  渗透攻击完成后,整理攻击所获得的信息,为后边编写测试报告提供依据。

  8、编写报告

  测试完成之后要编写报告,阐述项目安全测试目标、信息收集方式、漏洞扫描工具以及漏洞情况、攻击计划、实际攻击结果等。此外,还要对目标程序存在的漏洞进行分析,提供安全有效的解决办法。

阅读(89) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~