渗透测试（Penetration Testing）

目标：在授权范围内，模拟攻击者找出系统的安全漏洞。

特点：

  • 范围明确（哪些系统、哪些 IP、哪些应用）；
  • 时间有限（通常数天到数周）；
  • 规则明确（如禁止 DoS 攻击、禁止社工，或明确允许）；
  • 产出：漏洞清单 + 风险评级 + 修复建议。

类型：

  • 黑盒：测试者没有任何内部信息，完全从外部模拟攻击者；
  • 白盒：提供完整信息（架构图、源代码、凭据）——能更深入地发现问题；
  • 灰盒：介于两者之间（如提供普通用户账号）。

实践中最有价值的是灰盒测试：既贴近真实攻击面，又能覆盖内部逻辑，效率更高。

红队演练（Red Teaming）

目标：不只是找漏洞，而是测试整体的检测与响应能力。

特点：

  • 目标导向：以达成某个具体目标为任务（如"获取域管理员权限""拿到财务系统的数据"）；
  • 长期、隐蔽（数周到数月）；
  • 不限手段：可能包括社会工程学、物理渗透、自制工具——完全模拟真实的高级威胁（APT）；
  • 对抗性：有对应的蓝队（防御方）在监控和响应。

关键区别：红队演练的核心是检验蓝队能否发现并响应攻击，而不只是找出漏洞清单。

紫队（Purple Team）：红蓝双方协作，在演练过程中即时共享信息，边攻击边改进防御——更侧重能力建设而非评估。

典型流程

一、授权与范围界定（最关键）

  • 书面授权（必须！未经授权的测试是犯罪）；
  • 明确范围、时间窗口、允许和禁止的手段；
  • 紧急联系人（万一测试造成生产影响）。

二、信息收集（Reconnaissance）

  • 被动收集：公开信息（DNS、WHOIS、搜索引擎、代码仓库、社交媒体、泄露数据库）；
  • 主动扫描：端口、服务、指纹识别。

三、漏洞发现与分析

  • 自动化扫描（如 Nmap、Nessus、Burp Suite、SQLmap）；
  • 手工测试（自动化工具覆盖不到的业务逻辑漏洞）。

四、利用（Exploitation）

在授权范围内验证漏洞的实际危害——证明风险是真实的，而不只是扫描器报告的一条记录。

五、后渗透（Post-Exploitation）

  • 权限提升；
  • 横向移动；
  • 持久化；
  • 数据获取。

这一步用于展示"一个漏洞最终能造成多大损失"——这对推动修复最有说服力。

六、报告与整改

  • 清晰描述每个漏洞的原理、危害、复现步骤、修复建议；
  • 风险评级（如 CVSS）；
  • 面向不同的读者：技术人员需要细节，管理层需要风险摘要。

常见漏洞类型

OWASP Top 10 是 Web 应用安全的权威清单，包括：

  • 注入（SQL、命令等）；
  • 失效的身份认证；
  • 敏感信息泄露；
  • 访问控制失效（越权）；
  • 安全配置错误；
  • 跨站脚本（XSS）；
  • 使用含有已知漏洞的组件；
  • 不安全的反序列化；
  • 日志记录和监控不足；
  • 服务端请求伪造（SSRF）。

一个务实的观察

渗透测试的价值，取决于后续是否修复。

很多组织定期做渗透测试，但报告积压、漏洞不修——这样测试就变成了"合规checkbox"，而非安全改进。

更有价值的做法：

  • 把发现的问题纳入缺陷跟踪流程；
  • 与开发团队协作修复（而非只发一份报告）；
  • 修复后复测验证。

合法性与道德

渗透测试必须在明确授权范围内进行。

未经授权对他人系统进行测试，在多数国家/地区属于犯罪行为（如中国的《刑法》第 285、286 条，美国的 CFAA 等）。

"我只是在测试安全性"不是辩护理由。

学习渗透测试应该在专门的靶场（如 DVWA、HackTheBox、PortSwigger Web Security Academy）或授权的环境中进行。

说明：本文为安全实践的知识整理。