網絡安全滲透測試（一）

　　滲透測試在未得到被測試方授權之前依據某些地區法律規定是違法行為。這里我們提供的所有滲透測試方法均為（假設為）合法的評估服務，也就是通常所說的道德黑客行為（Ethical hacking），因此我們這里的所有讀者應當都是Ethical Hackers，如果您還不是，那么我希望您到過這里后會成為他們中的一員 ；）

　　這里，我還想對大家說一些話：滲透測試重在實踐，您需要一顆永不言敗的心和一個有著活躍思維的大腦。不是說您將這一份文檔COPY到您網站上或者保存到本地電腦您就會了，即使您將它打印出來沾點辣椒醬吃了也不行，您一定要根據文檔一步一步練習才行。而且測試重在用腦，千萬別拿上一兩個本文中提到的工具一陣亂搞，我敢保證：互聯網的安全不為因為這樣而更安全。祝您好運。

　　一、簡介

　　● 什么叫滲透測試？

　　滲透測試最簡單直接的解釋就是：完全站在攻擊者角度對目標系統進行的安全性測試過程。

　　● 進行滲透測試的目的？

　　了解當前系統的安全性、了解攻擊者可能利用的途徑。它能夠讓管理人員非常直觀的了解當前系統所面臨的問題。為什么說叫直觀呢？就像Mitnick書里面提到的那樣，安全管理（在這里我們改一下，改成安全評估工作）需要做到面面俱到才算成功，而一位黑客（滲透測試）只要能通過一點進入系統進行破壞，他就算是很成功的了。

　　● 滲透測試是否等同于風險評估？

　　不是，你可以暫時理解成滲透測試屬于風險評估的一部分。事實上，風險評估遠比滲透測試復雜的多，它除滲透測試外還要加上資產識別，風險分析，除此之外，也還包括了人工審查以及后期的優化部分（可選）。

　　● 已經進行了安全審查，還需要滲透測試嗎？

　　如果我對您說：嘿，中國的現有太空理論技術通過計算機演算已經能夠證明中國完全有能力實現宇航員太空漫步了，沒必要再發射神8了。您能接受嗎？

　　● 滲透測試是否就是黑盒測試？

　　否，很多技術人員對這個問題都存在這個錯誤的理解。滲透測試不只是要模擬外部黑客的入侵，同時，防止內部人員的有意識（無意識）攻擊也是很有必要的。這時，安全測試人員可以被告之包括代碼片段來內的有關于系統的一些信息。這時，它就滿足灰盒甚至白盒測試。

　　● 滲透測試涉及哪些內容?

　　技術層面主要包括網絡設備，主機，數據庫，應用系統。另外可以考慮加入社會工程學（入侵的藝術/THE ART OF INTRUSION）。

　　● 滲透測試有哪些不足之處？

　　主要是投入高，風險高。而且必須是專業的Ethical Hackers才能相信輸出的最終結果。

　　● 你說的那么好，為什么滲透測試工作在中國開展的不是很火熱呢？

　　我只能說：會的，一定會的。滲透測試的關鍵在于沒法證明你的測試結果就是完善的。用戶不知道花了錢證明了系統有問題以后，自己的安全等級到了一個什么程序。但是很顯然，用戶是相信一個專業且經驗豐富的安全團隊的，這個在中國問題比較嚴重。在我接觸了一些大型的安全公司進行的一些滲透測試過程來看，測試人員的水平是對不住開的那些價格的，而且從測試過程到結果報表上來看也是不負責的。我估計在三年以后，這種情況會有所改觀，到時一方面安全人員的技術力量有很大程度的改觀，另一方面各企業對滲透測試會有一個比較深刻的理解，也會將其做為一種IT審計的方式加入到開發流程中去。滲透測試的專業化、商業化會越來越成熟。

原文轉自：http://www.anti-gravitydesign.com