网络安全渗透测试技术流程研究

作者：杜江　任威

来源：《数字技术与应用》2016年第02期

        摘要：随着经济与信息化的飞速发展，网络安全问题已得到人们足够多的重视，渗透测试作为评估网络安全及发现系统漏洞的一种常用技术，也备受关注。首先本文简要介绍渗透测试技术的定义和分类，并通过研究其测试流程，提出了最基本的渗透测试流程，最后论述了渗透测试情报搜集阶段中使用的安全漏洞扫描技术。

        关键词：渗透测试 网络安全 漏洞 漏洞扫描

        中图分类号：TP393.08 文献标识码：A 文章编号：1007-9416（2016）02-0000-00

        渗透测试技术作为网络安全防范的一种新技术，对信息系统安全防御处于较低水平的中国而言，具有远大的实用价值和发展前景。通过对渗透测试的流程、步骤与方法的共性研究，本文给出了一种最基本的渗透测试过程，并论述了情报搜集阶段使用的安全漏洞扫描技术。

        1 渗透测试

        1.1 定义

        渗透测试[1]，英文为Penetration Testing，就是通过模拟恶意攻击者的技术与方法，对目标系统进行探测，发现系统漏洞，挫败目标系统安全控制措施，取得访问控制权，为网络系统的加固和服务信息的保护提供方向的一种网络安全评估方式。

        1.2 分类

        渗透测试包括两种基本类型和一种混合类型：黑盒测试、白盒测试和灰盒测试[2]。

        黑盒测试（black-box testing）：也称为外部测试。对目标系统完全不知的情况下，测试者通过远程网络，使用各种网络扫描技术对目标系统进行扫描，并进行逐步的渗透，继而揭示目标网络中一些已知或者未知的安全漏洞。

        白盒测试（white-box testing）：也称为内部测试。渗透测试者通过正规途径了解到关于目标环境的所有内部与底层知识，例如网络地址段、网络拓扑结构图、协议等，然后以最小的代价发现和验证系统中最严重的安全漏洞。

网络安全渗透测试技术流程研究