數(shù)據加密|圖紙加密|信息加密|文檔加密-Wonder Tech-上海騰赫信息科技有限公司

　　滲透測試是通(tōng)過模拟惡意黑(hēi)客的攻擊方法，來(lái)評估計(jì)算(suàn)機網絡系統安全的一種評估方法。這個(gè)過程包括對系統的任何弱點、技(jì)術(shù)缺陷或漏洞的主動分析，這個(gè)分析是從一個(gè)攻擊者可(kě)能存在的位置來(lái)進行(xíng)的，并且從這個(gè)位置有(yǒu)條件主動利用安全漏洞。
　　滲透測試還(hái)具備以下兩個(gè)顯著特點：
　　滲透測試是一個(gè)漸進的并且逐步深入的過程。
　　滲透測試是選擇不影(yǐng)響業務系統正常運行(xíng)的攻擊方法進行(xíng)的測試。
　　PETS滲透測試執行(xíng)标準
　　Step1、前期交互階段：在前期交互階段，在滲透測試團隊與客戶進行(xíng)交互討(tǎo)論，最重要的是确定滲透測試的範圍、目标、限制(zhì)條件以及服務合同細節。
　　Step2、情報搜集階段：在目标範圍确定之後，将進入情報搜集階段，滲透測試團隊可(kě)以利用各種信息來(lái)源與搜集技(jì)術(shù)方法，嘗試獲取更多(duō)關于目标組織網絡拓撲、系統配置與安全防禦措施的信息。
　　Step3、威脅建模階段：在搜集到充足的情報信息之後，滲透測試團隊的成員們停下敲擊鍵盤，大(dà)家(jiā)聚到一起針對獲取的信息進行(xíng)威脅建模（Threat Modeling）與攻擊規劃。這是滲透測試過程中非常重要，但(dàn)很(hěn)容易被忽略的一個(gè)關鍵點。
　　Step4、漏洞分析階段：在确定出最可(kě)行(xíng)的攻擊通(tōng)道(dào)之後，接下來(lái)需要考慮該如何取得(de)目标系統的訪問控制(zhì)權，即漏洞分析（Vulnerability Analysis）。
　　Step5、滲透攻擊階段：滲透攻擊是是滲透測試過程中最有(yǒu)魅力的環節。在此環節中，滲透測試團隊需要利用他們所找出的目标系統安全漏洞，來(lái)真正入侵系統當中，獲得(de)訪問權。
　　Step6、後滲透攻擊階段：後滲透攻擊是整個(gè)滲透測試過程中最能體(tǐ)現滲透測試團隊創造力與技(jì)術(shù)能力的環節，前面的環節可(kě)以說是按部就班地完成非常普遍的目标，而在這個(gè)環節中，需要滲透測試團隊根據目标組織的業務經營模式，保護資産形式與安全防禦計(jì)劃的不同特點，自主設計(jì)出攻擊目标，識别關鍵基礎設施，并尋找客戶組織最具價值和(hé)嘗試安全保護的信息和(hé)資産，最終能夠對客戶組織造成最重要業務影(yǐng)響的攻擊途徑。
　　Step7、撰寫報告階段：滲透測試過程最終向客戶組織提交，取得(de)認可(kě)并成功獲得(de)合同付款的就是一份滲透測試報告。這份情報凝聚了之前所有(yǒu)階段之中滲透測試團隊所獲取的關鍵情報信息、探測和(hé)發掘出的系統安全漏洞、成功滲透攻擊的過程，以及造成業務影(yǐng)響後果的途徑，同時(shí)還(hái)要站(zhàn)在防禦者的角度上(shàng)，幫助他們分析安全防禦體(tǐ)系中的薄弱環節、存在的問題，以及修補與升級技(jì)術(shù)方案。
　　實際滲透測試中的流程
　　1、明(míng)确目标：當拿(ná)到一個(gè)滲透測試項目時(shí)，我們首先應該明(míng)确客戶要求我們進行(xíng)滲透測試的範圍以及整體(tǐ)項目的時(shí)間(jiān)。
　　2、信息收集：子域名、系統版本、架構、真實IP地址、whios查詢、曆史漏洞查詢、指紋識别等。
　　3、漏洞發現：通(tōng)過漏掃軟件結合手動挖掘常規的web、系統等漏洞。
　　4、漏洞利用：由淺入深、旁敲側推、盡可(kě)能的将漏洞的價值發揮到最大(dà)化。
　　5、後滲透：包括內(nèi)網滲透、權限維持、權限提升，讀取用戶hash，這裏一定要把握好尺度。
　　6、報告文檔階段：根據之前測試獲取的漏洞及企業要求去編寫最終的滲透測試報告。
　　風險規避
　　不要進行(xíng)諸如ddos攻擊，不破壞數(shù)據測試之前對重要數(shù)據進行(xíng)備份
　　任何測試執行(xíng)前必須和(hé)客戶進行(xíng)溝通(tōng)，以免引來(lái)不必要的麻煩
　　可(kě)以對原始系統生(shēng)成鏡像環境，然後對鏡像環境進行(xíng)的測試
　　明(míng)确滲透測試範圍