渗透测试介绍和风险规避点

0x01 渗透测试介绍

渗透性测试根据测试者在测试前掌握被测信息多少的不同可分为：

黑盒测试：

• 黑盒测试也称为外部测试。
• 在进行黑盒测试时候，渗透性测试安全工程师完全处于对系统一无所知的状态，
• 通常这类测试最初信息来自于DNS、Web、Email及各种互联网公开对外的服务器，
• 主要是模拟来自互联网的攻击者，从外部发起的攻击行为，从网络外部对其网络安全进行评估。

白盒测试：

• 白盒测试也称为内部测试。
• 渗透性测试安全工程师可以通过正常渠道向被测机构要求，取得各种资料，包括网络拓扑、员工资料甚至网站或其他程序的代码片段，也能够与被测机构内部的其他员工（业务人员、开发人员、管理人员等）进行面对面的沟通。
• 这类测试的目的是模拟组织内部雇员的越权操作以及内部违规操作者的行为，和预防万一组织重要信息泄露，网络黑客能利用这些信息对组织构成的危害，最主要的“优势”就是绕过了防火墙的保护。

灰盒测试：

• 将白盒测试和黑盒测试组合使用，就是灰盒测试，
• 了解部分目标网络的信息，但不会掌握网络内部工作原理和限制信息，
• 主要是模拟离职的员工或合作伙伴，他们对组织的结构比较了解，
• 但不在公司内部,没有权限访问。

0x02 可能存在的风险描述

在对目标系统渗透测试的过程中，可能会存在以下的风险： 1）占用带宽（风险不高）； 2）登录界面锁死； 3）可能造成业务数据变更； 4）可能造成数据丢失无法恢复； 5）可能造成系统出现异常情况； 6）被测试系统部署重要核心业务，测试风险较大。

0x03 风险规避方法：

1）根据目标系统的网络、应用状况，调整测试脚本的渗透测试时间段及阀值，采取避峰扫描； 2） 渗透测试会对登录页面进行弱口令猜测，猜测过程可能会造成应用系统被测对象某些帐账号锁死，如目标系统对登录某些相关程序的尝试次数进行了限制，在进行扫描测试时，可屏蔽暴力猜解功能，以避免登录界面锁死的情况发生。 3）对于在测试过程中，可能造成删除和修改数据的技术手段，测试人员会尽量避免使用，如必须要使用，则会先通过与用户协商和测试记录的方式来保证意外操作的可追溯性。 4）针对系统所涉及到重要业务数据进行备份。 5）渗透测试过程中如果出现被测试系统出现异常情况，应当立即停止测试工作，与系统业务管理人员一起分析情况，在确定原因、正确恢复系统以及采取必要的预防措施（比如调整测试策略等）之后，才可继续进行测试。 6）整体评估生产环境的系统情况，确认模拟/仿真环境与业务生产环境一致的情况下，在模拟/仿真环境开展渗透测试工作。

摘抄

做事最怕一个“拖”字。 今日事，今日毕。 古诗云： 盛年不重来， 一日难再晨。 及时当勤勉， 岁月不待人。 拖延是成功路上的绊脚石， 拒绝拖延， 才能离成功更近。

----