渗透测试方法论(qf总结)

渗透测试(penetration testing , pentest)是实施安全评估(即审计)的具体手段。方法论是在指定、实施信息安全审计方案时，需要遵循的规则、惯例和过程。人们在评估网路、应用、系统或三者组合的安全状况时，不断摸索各种务实的理念和成熟的做法，并总结了一套理论-渗透测试方法论。

渗透测试的种类

黑盒测试

在进行黑盒测试时，安全审计员在不清楚被测单位的内部技术构造的情况下，从外部评估网络基础设施的安全性。在渗透测试的各个阶段，黑盒测试借助真实世界的黑客技术，暴露出目标的安全问题，甚至可以揭露尚未被他人利用的安全弱点。
渗透测试人员应能理解安全弱点，将之分类并按照风险等级(高、中、低)对其排序。通常来说，风险级别取决于相关弱点可能形成危害的大小。老练的渗透测试专家应能够确定可引发安全事故的所有攻击模式。当测试人员完.成黑盒测试的所有测试工作之后，他们会把与测试对象安全状况有关的必要信息进行整理，并使用业务的语言描述这些被识别出来的风险，继而将之汇总为书面报告。黑盒测试的市场报价通常会高于白盒测试。

白盒测试

白盒测试的审计员可以获取被测单位的各种内部资料甚至不公开资料，所以渗透测试人员的视野更为开阔。若以白盒测试的方法评估安全漏洞，测试人员可以以最小的工作量达到最高的评估精确度。白盒测试从被测系统环境自身出发,全面消除内部安全问题。从而增加了从单位外部渗透系统的难度。黑盒测试起不到这样的作用。白盒测试所需要的步骤数目与黑盒测试不相上下。另外，若能将白盒测试与常规的研发生命周期相结合，就可以在入侵者发现甚至利用安全弱点之前，尽可能最早地消除全部安全隐患。这使得白盒测试的时间、成本，以及发现、解决安全弱点的技术门槛都全面低于黑盒测试。

脆弱性评估与渗透测试

脆弱性评估通过分析企业资产面临安全威胁的情况和程度评估内部和外部的的安全控制的安全性。这种技术上的信息系统评估，不仅揭露现有防范措施里存在的风险,而且要提出多重备选的补救策略，并将这些策略进行比较。内部的脆弱性评估可保证内部系统的安全性，而外部的脆弱性评估则是验证边界防护(perimeter defenses)的有效性。无论进行内部脆弱性评估还是进行外部脆弱性评估，评估人员都会采用各种攻击模式来严格测试网络资产的安全性，从而验证信息系统处理安全威胁的能力，进而确定应对措施的有效性。不同类型的脆弱性评估需要的测试流程、测试工具和自动化测试技术也不相同。这可以通过一-体化的安全弱点管控(vulnerabilitymanagement)平台来实现。现在的安全弱点管理平台带有可自动更新的漏洞数据库，能够测试不同类型的网络设备,而且不会影响配置管理和变更管理的完整性。

脆弱性评估和渗透测试两者最大的区别就是:渗透测试不仅要识别目标的弱点，它还设计在目标系统.上进行漏洞利用、权限提升和访问维护。换句话说，脆弱性评估虽然可以充分发现系统里的缺陷,但是不会考虑去衡量这些缺陷对系统造成的危害。另外,相比脆弱性评估，渗透测试更倾向于入侵，会刻意使用各种技术手段利用安全漏洞;所以渗透测试可能对生产环境带来实际的破坏性影响。而脆弱性评估以非入侵的方式，定性、定量得识别已知安全弱点。\

安全测试方法论

• 开放式web应用安全项目（Open Web Application Security Project，OWASP）        http://www.owasp.org.cn/
• 通用缺陷列表（Common Wekness Enumeration，CWE）           CWE-79：XSS漏洞
• 通用漏洞与纰漏（Common Vulunerabilities and Exposures，CVE）

其他：

• 开源安全测试方法论(Open Source Security Testing Methodology Manual, OSSTMM)
• 信息系统安全评估框架(Information Systems Security Assessment Framework, ISSAF)
• Web应用安全联合威胁分类(Web Application Security Consortium Threat Classification , WASC-TC)