专业CMA\CNAS第三方软件测试报告服务商

全国服务热线:18684048962(微信同号)

渗透测试的概况、依据、内容方法和流程有哪些?

73
发表时间:2023-07-25 06:00
渗透测试流程

一、项目概况

通过模拟黑客的思维和攻击手段,对计算机业务系统的弱点、技术缺陷和漏洞进行探查评估。经过客户授权后,在不影响业务系统正常运行的条件下,渗透人员在黑客可能的不同的位置,采取可控的方法、手段和工具,对某个特定业务系统进行主动分析和测试,发现和挖掘业务系统中存在的弱点、技术缺陷或漏洞,然后输出渗透测试报告,并提交给业务系统所有者。业务系统所有者根据渗透人员提供的渗透测试报告,可以清晰知晓业务系统中存在的安全隐患和问题,是计算机业务系统信息安全防范的一种新技术,对于信息安全保障具有实际应用价值。

二、参考依据

国际渗透测试规范《OWASP WEB应用十大安全风险》(2017版)

国际渗透测试规范(OSSTMM)

国际渗透测试标准《PTES渗透测试标准》

国内渗透测试规范《WEB应用安全测试规范》

国内渗透测试技术标准《中国渗透测试知识库》

三、渗透内容

商用密码应用安全性评估主要从总体要求、物理和环境、网络和通信、设备和计算、应用和数据、密钥管理以及安全管理七个方面进行评估。

1. Web安全渗透测试

通过对自动化检测结果的验证,结合测试人员的经验深度挖掘漏洞,和人自身的逻辑识别能力挖掘某些逻辑错误,全方面评估Web应用系统的安全。

2. App安全渗透测试

App应用将会面临内容安全、计费安全、客户信息安全、业务逻辑等方面的挑战。随着自主开发的移动APP越来越多,其中的安全性将面临越来越多的挑战。

3. 小程序安全渗透测试

APP应用提供的框架、组件、API及工具在一定程度上保障了小程序的安全性,但由于开发者的安全意识不足,一些Web中的安全漏洞在小程序中仍然会存在,产生安全风险。

4. PC客户端(CS架构)渗透测试

PC客户端,即CS架构,有丰富功能的GUI,开发语言有C#(.NET)、JAVA、DELPHI、C、C++等,协议有TCP、HTTP(S)、TDS等,数据库有oracle、mssql、db2等;

四、测试方法

测试方法包括黑盒测试、白盒测试、灰盒测试、人工测试、工具扫描、漏洞验证、漏洞演示、横向渗透、纵向渗透等。

五、测试流程

评估流程.png

计划准备:需求调研、沟通与培训、目标和范围、项目计划

渗透实施:信息收集、信息分析、漏洞探测、漏洞验证、漏洞利用

评估与解决:风险评估总结、安全现状报告、安全解决方案

报告输出:报告编写、报告审核、提交报告

标签:渗透测试、测试报告


公司地址:成都市天府新区万安街道宁安东路198号
联系人:王经理
联系电话:18684048962
联系我们
成都柯信优创信息技术服务有限公司
客服微信
微信公众号
我们的客户