渗透测试分类
- 黑盒测试：从远程网络位置来评估目标网络基础设施，没有任何相关信息
- 白盒测试：内部发起，了解到关于目标环境的所有内部与底层知识
- 灰盒测试：结合两者优势，根据对目标系统所掌握的有限知识与信息，来选择评估整体安全性的最佳途径
测试方法
- OSSTMM安全测试方法学开源手册
- NISTSP800-42网络安全测试指南
- OWASP十大Web应用安全威胁项目
- WASC威胁分类标准(WASC-TC)
- PTES渗透测试执行标准
渗透过程环节
- 前期交互• 确定渗透测试的范围、目标、限制条件以及服务合同细节
在前期交互(Pre-Engagement Interaction)阶段，渗透测试团队与客户组织进行交互讨论，最重要的是确定渗透测试的范围、目标、限制条件以及服务合同细节。
该阶段通常涉及收集客户需求、准备测试计划、定义测试范围与边界、定义业务目标项目管理与规划等活动。
- 情报搜集• 获取更多关于目标组织网络拓扑、系统配置与安全防御措施的信息
在目标范围确定之后，将进入情报搜集 (Information Gathering)阶段，渗透测试团队可以利用各种信息来源与搜集技术方法，尝试获取更多关于目标组织网络拓扑、系统配置与安全防御措施的信息。
渗透测试者可以使用的情报搜集方法包括公开来源信息查询、Google Hacking、社会工程学、网络踩点、扫描探测、被动监听、服务查点等。而对目标系统的情报探查能力是渗透测试者一项非常重要的技能，情报搜集是否充分在很大程度上
本文转载自: https://blog.csdn.net/luozhonghua2014/article/details/130459441
版权归原作者 luozhonghua2000 所有， 如有侵权，请联系我们删除。
版权归原作者 luozhonghua2000 所有， 如有侵权，请联系我们删除。