官网热线：400-100-0298
渗透测试并没有一个标准的定义，渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。渗透测试是指渗透人员在不同的位置（比如从内网、从外网等位置）利用各种手段对某个特定网络进行测试，以期发现和挖掘系统中存在的漏洞，然后输出渗透测试报告，并提交给网络所有者。网络所有者根据渗透人员提供的渗透测试报告，可以清晰知晓系统中存在的安全隐患和问题。
渗透测试的过程有一个执行标准，其核心理念是通过建立起进行渗透测试所需要的基本准则基线,来定义一次真正的渗透测试过程。标准将渗透测试过程分为七个阶段，依次为：前期交互阶段、情报收集阶段、威胁建模阶段、漏洞分析阶段、渗透攻击阶段、后渗透攻击阶段、报告阶段。 一、前期交互阶段。 在前期交互阶段,渗透测试团队与客户组织主要进行交互讨论.重点确定渗透测试的范围 目标限制条件以及服务合同细节。 该阶段通常涉及收集客户需求、准备测试计划、定义测试范围与边界、定义业务目标 、项目管理与规划等活动。 二、信息收集分析阶段。 信息收集是每一步渗透攻击的前提，通过信息收集可以有针对性的制定模拟攻击测试计划，提高模拟攻击的成功率，同时可以有效的降低攻击测试对系统正常运行造成的不利影响。三、威胁建模阶段 威胁建模主要使用情报搜集阶段所活的到的信息，来标识出目标系统上可能存在的安全漏洞与弱点。 在威胁建模阶段，通常需要将客户组织作为敌手来看待，然后以攻击者的视角和思维来尝试利用目标系统的弱点。四、漏洞分析阶段 漏洞分析阶段主要是从前面几个环节获取的信息分析和理解哪些攻击途径是可行的。 特别需要重点分析端口和漏洞扫描结果，提取到的服务 “旗帜”信息，以及在情报收集环节中得到的其他关键信息。 五、渗透攻击阶段 渗透攻击主要是针对目标系统实施深入研究和测试的渗透攻击，并不是进行大量漫无目的的渗透测试。 六、后渗透攻击阶段 后渗透攻击阶段主要是从已经攻陷了的客户组织系统标识出关键的基础设施，寻找最具有价值信息和资产。主要包括：基础设施分析、高价值目标识别、掠夺敏感信息、掩踪灭迹、权限维持。 七、渗透测试报告 报告是渗透测试过程中最为重要的因素，将使用报告文档来交流在渗透测试过程中做了哪些，如何做的，以及最为重要的就是告诉客户组织如何修复你所发现的安全漏洞与弱点。
