渗透测试类型有哪些

渗透测试类型主要有3种：1、黑盒，团队对目标系统的内部结构一无所知。他们充当黑客，探寻任何可从外部发起攻击的弱点。2、灰盒，团队对一套或多套凭证有一定了解。他们还了解目标的内部数据结构、代码和算法。渗透测试人员可以根据详细的设计文档（如目标系统的架构图），构建测试用例。3、白盒，对于白盒测试，渗透测试人员可以访问系统和系统工件：源代码、二进制文件、容器，有时甚至是运行系统的服务器。白盒方法可在最短的时间内提供较高水平的安全保证。

本文由项目管理工具PingCode 小编整理

一、什么是渗透测试？

渗透测试是一项在计算机系统上进行的授权模拟攻击，旨在对其安全性进行评估。渗透测试人员使用与攻击者相同的工具、技术和流程，来查找和展示系统弱点对业务带来的影响。

渗透测试通常会模拟各种可能威胁您业务的攻击。渗透测试可以检查系统是否足够稳定，能否抵抗来自经过认证和未经认证的攻击，以及一系列系统角色发起的攻击。在合适的范围内，针对您需要评估的系统的任何方面，渗透测试都可以深入其中。

二、渗透测试类型有哪些

根据渗透测试的具体目标，组织针对目标系统向测试者提供不同级别的信息或访问权限。有时，渗透测试团队会在开始时设置一种方法并一直坚持下去。有时，测试团队会随着在渗透测试期间对系统认识的加深而改进其策略。在本行业中，我们讨论了三种类型的渗透测试：

黑盒。 团队对目标系统的内部结构一无所知。他们充当黑客，探寻任何可从外部发起攻击的弱点。
灰盒。 团队对一套或多套凭证有一定了解。他们还了解目标的内部数据结构、代码和算法。渗透测试人员可以根据详细的设计文档（如目标系统的架构图），构建测试用例。
白盒。 对于白盒测试，渗透测试人员可以访问系统和系统工件：源代码、二进制文件、容器，有时甚至是运行系统的服务器。白盒方法可在最短的时间内提供较高水平的安全保证。

三、渗透测试阶段

渗透测试人员意在模拟怀有动机的对手发起的攻击。为此，他们遵循的方案通常包含以下步骤：

侦察。从公共和专用来源收集尽可能多的目标相关信息，以制定攻击策略。这些来源包括互联网搜索、域注册信息检索、社会工程、非侵入式网络扫描，有时甚至是搜索垃圾箱。这些信息有助于渗透测试人员破解出目标的攻击面和潜在漏洞。侦察可能因渗透测试的范围和目标不同而有所差异，可能简单到打个电话即可了解系统的功能。
扫描。渗透测试人员使用工具检查目标网站或系统是否存在弱点，包括开放服务、应用安全问题和开源漏洞。渗透测试人员根据在侦察和测试期间的发现来使用各种工具。
获得访问权限。攻击者可能怀有各种动机，可能是窃取、更改或删除数据，可能是转移资金，也可能仅仅是要损害您的声誉。在执行每个测试案例时，渗透测试人员都必须确定访问系统的优异工具和技术，无论是利用弱点（如 SQL 注入），还是通过恶意软件、社会工程或其他方式。
维护访问权限。一旦渗透测试人员取得目标的访问权限，其模拟攻击必须保持足够长时间的连接，以达成其目标：提取数据、修改数据或滥用功能。目标是展示潜在的影响。