表白：黑白圣堂血天使，天劍鬼刀阿修羅。
講解對(duì)象：/滲透測試與流程，滲透測試工程師
作者：融水公子 rsgz
網(wǎng)絡(luò)安全 網(wǎng)絡(luò)安全教程 http://www./post/771.html
滲透測試是什么？
滲透測試的實(shí)質(zhì)就是模擬黑客進(jìn)行攻擊，找出漏洞，然后給出解決方案。這里的滲透測試主要針對(duì)web滲透測試，Web滲透測試又主要針對(duì)Web應(yīng)用程序。
Web應(yīng)用程序，主要測量四個(gè)方面
服務(wù)器:是Linux還是windows , UNIX 等等
中間件：IIS apache Nginx
數(shù)據(jù)庫：mysql redis oracle
Web app：計(jì)數(shù)器、留言版、聊天室和論壇BBS
滲透測試工程師
擁有我上面介紹了這些技能。在滲透測試方面，比較專門的叫法稱之為滲透測試工程師。當(dāng)然了。你還需要掌握程序員的開發(fā)思維，怎么去開發(fā)一個(gè)app？需要掌握其中的一些技術(shù)。以及他的邏輯是怎么運(yùn)用的。同時(shí)呢你還要掌握一般黑客的攻擊的思路以及攻擊的方法。這樣才能達(dá)到一定效果。
滲透測試的流程？
信息收集--整站映射--漏洞掃描--漏洞利用--測試報(bào)告
信息收集：這是第一步，他占用了我們70%的時(shí)間。
整站映射：針對(duì)的是web腳本,要將他所有的技術(shù)探測到，
漏洞掃描：主要是應(yīng)用一些主流的漏洞掃描器掃描漏洞。也可以自己開發(fā)一些漏洞掃描器。很多優(yōu)秀的工程師都有自己開發(fā)的漏洞掃描器或者是公司開發(fā)的漏洞掃描器。他們的優(yōu)點(diǎn)就是擴(kuò)展性很強(qiáng)，能夠及時(shí)更新最新的漏洞。
漏洞利用：漏洞利用只是利用我們掃描到的結(jié)果，當(dāng)然。在我們利用之后很可能獲得了Web應(yīng)用程序相對(duì)應(yīng)的權(quán)限。在服務(wù)器上面，這個(gè)權(quán)限有可能很低。這個(gè)時(shí)候?yàn)榱藬U(kuò)大戰(zhàn)果以及更加具有說明性。我們極有可能繼續(xù)擴(kuò)大滲透結(jié)果。從而獲得更高的權(quán)限。
測試報(bào)告：最后一步就是我們需要給用戶提供一個(gè)測試報(bào)告。我們需要給客戶提供這個(gè)漏洞是什么？在哪里發(fā)現(xiàn)的？這個(gè)漏洞可以怎么去利用？以及在大概的方向上給出解決辦法。而不是幫他們把所有的漏洞都給修復(fù)。如果想要把這些漏洞都給修復(fù)，需要額外的付費(fèi)。
整個(gè)過程中要及時(shí)與客戶交流。同時(shí)我們一定要注意，測試的前提是我們得到了人家的授權(quán)。對(duì)應(yīng)的產(chǎn)品經(jīng)理。需要在進(jìn)行測試之前找到本公司。與本公司制定相應(yīng)的詳細(xì)的規(guī)則。以及簽訂相應(yīng)的合同。簽過合同之后，滲透工程師才能，進(jìn)行合法的測試。
有哪些測試工具？HTTP代理
我們整個(gè)測試過程中經(jīng)常需要涉及到HTTP代理。因?yàn)槲覀儸F(xiàn)在的通信最主要還是應(yīng)用到HTTP以及https。我們需要截?cái)嗪筒榭磾?shù)據(jù)報(bào)。這個(gè)時(shí)候我們就非常的需要HTTP代理。他是瀏覽器和服務(wù)器之間的橋梁，通過它我們可以獲得相應(yīng)的請(qǐng)求和響應(yīng)。這里面常用的工具:Burpsuite
網(wǎng)站爬蟲
我們需要一個(gè)web網(wǎng)站爬蟲，爬蟲的作用主要是對(duì)整個(gè)網(wǎng)站的爬取。常用工具：ZAP，Burpsuite,Httrack,Scrapy(python工具)
web漏洞掃描器
探測網(wǎng)站的技術(shù)性和邏輯性漏洞。常用工具：appscan,AWVS,W3af(python工具)
目錄探測
網(wǎng)站中存在著不鏈接的頁面，需要借助這些工具探測：Dirb,wfuzz
HTTP狀態(tài)碼獲取
客戶端發(fā)出請(qǐng)求，服務(wù)端那邊會(huì)給出一個(gè)響應(yīng)。這個(gè)響應(yīng)會(huì)有一個(gè)狀態(tài)碼。這個(gè)狀態(tài)碼的意思就是說，我要不要接收你的請(qǐng)求？
測試網(wǎng)站
下面我給出一個(gè)網(wǎng)站專門來測試http.
https:///
=== 公眾號(hào)：小雪妃
謝謝大家的支持！可以點(diǎn)擊我的頭像，進(jìn)入我的空間瀏覽更多文章呢。建議大家360doc[www.ahfyzs.com]注冊(cè)一個(gè)賬號(hào)登錄，里面真的有很多優(yōu)秀的文章，歡迎大家的到來。
---
