渗透测试基础安全测试概念与测试思路前言很多刚入行网络安全的新手容易把渗透测试、漏洞扫描、安全测试、代码审计这几个概念混为一谈。不少初学者上来就直接拿工具扫站点挖到几个 XSS、弱口令就认为自己掌握了渗透测试其实这是典型误区。渗透测试并不是简单跑扫描器、找漏洞它是一套完整、标准化的安全测试流程。需要遵循规范划定测试范围按照思路一步步对目标系统进行模拟黑客攻击在不破坏业务的前提下发现安全隐患最后输出漏洞报告和修复建议。本文面向零基础入门的同学讲解渗透测试相关基础概念区分各类安全测试的异同梳理一套通用的渗透测试整体思路。适合作为入门学习笔记也可以作为面试复习资料收藏。⚠️ 免责声明本文内容仅用于网络安全学习、授权环境内的安全测试练习。严禁对任何未获得书面授权的网站、服务器、业务系统实施渗透、扫描、漏洞探测等操作未经授权的测试行为触犯《网络安全法》等相关法律法规一切法律后果由行为人自行承担。一、安全测试相关基础概念区分1. 什么是安全测试安全测试是一个大统称。它的目标是验证软件、业务系统、网络环境是否满足安全需求发现潜在安全风险保障数据、业务、权限不被非法篡改、窃取、破坏。安全测试包含很多细分方向渗透测试、漏洞扫描、代码审计、配置核查、风险评估、模糊测试、业务逻辑测试等。2. 什么是渗透测试Penetration Testing渗透测试俗称 “透测”是安全测试里最贴近真实攻击的一类。定义在授权前提下安全人员模拟恶意攻击者的思路与手段对目标信息系统进行攻击测试主动挖掘系统存在的安全漏洞与风险评估漏洞的可利用性、危害等级最终提供整改方案。核心关键词授权、模拟攻击、验证风险、不破坏业务。渗透测试不是为了搞垮业务而是提前发现问题在真实黑客入侵之前修复漏洞。3. 渗透测试 VS 漏洞扫描很多新手分不清两者区别漏洞扫描被动自动化检测。依靠扫描器AWVS、Xray、Nessus 等发送 payload匹配特征库批量发现已知漏洞。优点是速度快缺点是误报多、无法挖掘业务逻辑漏洞无法验证漏洞真实危害。扫描器只是工具不能等同于渗透。渗透测试人工主导工具辅助。拿到扫描结果后人工验证漏洞真伪尝试深入利用横向移动评估整个内网、业务的风险。逻辑漏洞、权限绕过这类扫描器很难发现的问题依靠人工渗透挖掘。一句话总结漏洞扫描是 “自动化体检”渗透测试是人工深度会诊。4. 渗透测试 VS 代码审计代码审计白盒测试拿到系统源代码阅读代码从源头寻找安全缺陷比如 SQL 注入、文件上传、不安全的函数、逻辑缺陷。测试人员拥有源码、架构文档信息完全透明。渗透测试大多属于黑盒测试不提供源代码、底层架构信息只知道目标入口像外部黑客一样从外部发起探测。还有灰盒测试会给到少量基础信息如账号、简单接口文档介于白盒与黑盒之间也是企业最常用的模式。5. 红队、蓝队和渗透测试的关系红队模拟攻击者全程模拟真实黑客目标尽可能突破防御、拿到权限、完成预设目标更偏向实战对抗周期更长手段更贴近真实 APT。蓝队防守方负责监控告警、应急响应、溯源、加固抵御红队攻击。渗透测试目标以发现漏洞为主一般不做深度持久化、长期潜伏。红队可以看作渗透测试的进阶对抗版本。二、渗透测试的分类按照测试视角、信息掌握程度分为三类黑盒渗透测试人员仅获得目标 URL/IP没有源码、账号、后台地址、架构信息。完全站在外部攻击者视角也是 SRC 漏洞挖掘最常用的模式。优点贴近真实外网攻击场景缺点信息少部分深层漏洞难以发现。白盒渗透开发文档、源代码、网络拓扑、账号权限全部开放。可以结合代码审计快速定位缺陷适合上线前内部安全测试。灰盒渗透企业项目最常用。会提供普通用户账号、接口文档不提供源码。兼顾效率和真实性既能从业务用户角度测试业务逻辑漏洞又不用完整阅读全部代码。按测试范围划分Web 应用渗透网站、Web 接口、小程序、H5、API 接口测试主机渗透服务器操作系统安全、系统补丁、账号安全内网渗透拿到边界权限之后在内网横向移动、域环境测试移动 APP 渗透安卓 /iOS APP 抓包、逆向、接口安全物联网 / 硬件渗透摄像头、嵌入式设备等三、渗透测试前置准备范围、规则、授权这一步是渗透测试的生命线正式项目必须最先完成。没有授权后面所有操作都不能开展。1. 确定授权文件需要书面授权协议明确测试目标 IP / 域名列表、测试起止时间、允许的测试动作、禁止操作项。禁止项一般包含禁止 DDOS、压测不能把业务打瘫痪禁止删除、修改业务数据禁止拖库、导出真实用户敏感数据禁止横向扩散到授权范围以外的资产2. 划定测试范围确认目标资产区分在测资产、排除资产。很多企业存在关联域名、子域名必须确认哪些属于本次测试范围防止越界。3. 沟通应急联系人提前对接甲方应急人员。一旦测试操作意外导致业务异常可以立刻停止测试协同恢复业务。四、通用渗透测试完整思路核心章节标准渗透流程分为信息收集 → 漏洞探测 → 漏洞验证与利用 → 提权与横向移动 → 痕迹整理 → 报告输出。注意Web 渗透和内网渗透流程会有差异下面这套是通用思路Web 应用渗透重点在前半部分内网渗透重点在后半段。阶段 1信息收集重中之重花费时间最多信息收集是整个渗透测试的基础。信息收集越充分后续漏洞挖掘成功率越高。很多新手直接跳过信息收集打开扫描器就扫很容易漏掉关键入口。信息收集分为被动信息收集、主动信息收集。被动信息收集不向目标发送任何数据包利用互联网公开资源搜集信息不会被目标 WAF、日志记录。域名信息备案信息、注册人、DNS 记录、子域名挖掘公开代码Github、Gitee 搜索代码、账号、密码、接口信息搜索引擎Google 语法、百度收集后台地址、泄露文档、测试页面社交信息员工邮箱、手机号、组织架构用于密码爆破、钓鱼场景威胁情报平台查询目标是否有历史泄露漏洞、泄露的账号口令主动信息收集主动发包探测目标会留下访问日志。端口扫描Nmap 扫描开放端口识别端口对应的服务、版本80/443 web22 ssh3306 mysql 等目录扫描使用 dirsearch、dirb 扫描网站后台、备份文件、配置文件指纹识别识别 Web 框架Spring、ThinkPHP、Wordpress、中间件版本Nginx、Apache、Tomcat识别 CMS、API 接口、管理后台入口信息收集阶段需要整理资产清单域名、IP、子域名、开放端口、中间件、系统版本、后台地址。阶段 2漏洞探测拿到资产清单后开始安全探测工具 人工结合。自动化扫描Xray、AWVS、Nessus 等扫描器批量扫描发现已知漏洞如 SQL 注入、XSS、文件上传、命令执行、SSRF 等。扫描结果不能直接当作漏洞存在大量误报必须人工复核。人工安全测试Web 应用重点人工逐项测试 OWASP Top10 漏洞注入类SQL 注入、命令注入、XPATH 注入跨站类XSS 跨站脚本访问控制越权访问、未授权访问文件类文件上传、任意文件读取、文件包含其他SSRF、CSRF、反序列化、路径遍历业务逻辑测试这一块扫描器几乎无法覆盖人工重点测试验证码漏洞、支付逻辑、密码重置漏洞、接口参数篡改、重复提交、条件竞争、用户枚举。阶段 3漏洞验证与漏洞利用拿到可疑漏洞点之后验证漏洞是否真实存在评估危害。验证漏洞真伪排除误报尝试漏洞利用看能不能获取信息、拿到权限规范渗透中要最小化利用。例如 SQL 注入只查询数据库版本、库名不下载全部真实用户数据。文件读取只读取配置小样例不读取大量敏感文件。记录利用方式、Payload、截图、请求包作为报告证据。举例发现文件上传漏洞上传一句话木马验证可以执行即可不需要长期保留后门。测试结束后立刻清理。阶段 4提权 横向移动拿到初始权限后当获取到网站 webshell、服务器普通账号之后进入内网方向。本地信息搜集查看服务器系统版本、账号、进程、配置文件、内网网卡信息本地提权普通权限提升到服务器管理员 /root 权限内网信息收集查看内网网段、ARP、主机列表、域信息横向移动从当前机器尝试访问内网其他主机扩大控制范围权限维持可选项目按授权要求决定是否操作创建隐藏账号、计划任务等。很多项目明确禁止做权限维持测试完成不能留下后门以项目授权范围为准。阶段 5清理测试痕迹测试完成之后清理本次渗透产生的文件、临时上传的脚本、新建账号、计划任务删除临时日志。只保留报告所需证据不能在目标系统遗留任何后门。这是渗透测试人员的职业规范。阶段 6编写渗透测试报告渗透测试最后产出物就是安全报告也是整个项目交付成果。报告包含内容项目概述、测试范围、测试时间风险总览高危、中危、低危、信息统计整体风险评价漏洞详情漏洞名称、漏洞位置、风险等级、漏洞描述、复现步骤、请求包、截图、影响分析、修复建议整体安全加固建议漏洞描述需要通俗易懂开发、产品、运维都能看懂修复建议要可落地不要只写 “加强过滤” 这类空话。五、OWASP Top10 简单介绍Web 渗透重点关注做 Web 渗透OWASP Top10 是必须熟记的基础它总结 Web 应用最常见的十大风险失效的访问控制越权、未授权访问加密失效敏感数据明文传输、弱加密注入漏洞SQL 注入、命令注入不安全的设计安全配置错误易受攻击和过时组件中间件、框架旧版本漏洞身份认证失效软件和数据完整性失效安全日志与监控失效服务端请求伪造 SSRF注意OWASP Top10 会更新版本最新版本会增加业务、安全设计类风险不只是传统注入 XSS。六、新手学习常见误区误区 1渗透测试 跑扫描器扫描器只是辅助工具。很多逻辑漏洞、深层业务风险扫描器识别不出来。只依赖工具永远无法进阶。误区 2追求拿服务器最高权限才算挖到漏洞不是所有漏洞都要拿到服务器权限。比如越权查看用户手机号、任意密码重置这类业务漏洞没有服务器权限但是危害等级可以到高危 / 严重SRC 赏金往往更高。误区 3拿到漏洞就上传大马、拖库练习场景也不推荐这种操作。正式项目严格禁止大量导出真实业务数据靶场练习也要养成最小化利用的习惯。一旦养成坏习惯很容易在真实项目踩法律红线。误区 4只学 Payload不理解原理复制 payload 打漏洞但是不懂漏洞为什么产生、底层原理是什么。一旦遇到 WAF、环境差异就无法变通很难继续深入。误区 5忽略信息收集直接上手漏洞测试信息收集是渗透的眼睛。很多后台入口、测试站点、泄露配置都是在信息收集阶段挖到的。七、学习路线简单建议基础打底计算机网络、HTTP 协议、Linux 基础看懂请求和响应。学习 Web 漏洞原理SQL 注入、XSS、文件上传等 OWASP 漏洞在 DVWA、Pikachu、WebGoat 靶场练习。学会基础工具Burp Suite、Nmap、Xray、dirsearch理解工具参数。练习信息收集学会手工挖掘漏洞而不是只靠扫描器。学习业务逻辑测试练习抓包修改参数。进阶学习内网渗透Windows/Linux 提权、域渗透、横向移动。练习一定要在本地靶场DVWA、Pikachu、Vulhub 都是非常适合自学的靶场环境。绝对不要拿互联网真实网站练习。结尾渗透测试是一门综合性很强的技术它融合网络、操作系统、Web 开发、数据库、安全攻防等大量知识。很多初学者以为渗透就是一堆工具和 Payload深入之后才发现思路比工具重要思维比 Payload 重要。整个渗透流程信息收集往往占用一半以上的时间。优秀的渗透人员不会上来就无脑扫描而是先梳理目标资产、挖掘公开信息寻找潜在入口再结合人工 工具逐步验证风险。漏洞利用只是中间环节而不是全部。同时要记住渗透测试最重要的不是攻击技巧是边界意识和法律意识。授权是一切测试的前提没有书面授权再简单的探测也不能执行。网络安全从业者必须守住法律底线这是入行第一课。很多同学学 Web 漏洞之后卡在业务逻辑测试、内网横向移动环节。业务逻辑漏洞没有固定 Payload完全依靠对业务流程的拆解这也是区分新手和成熟测试人员的关键点。在掌握基础 Web 渗透之后下一步可以学习内网渗透、应急响应、代码审计等方向。后续我会继续更新靶场实操、漏洞原理、工具实战系列笔记。如果你想看某一类漏洞的详细原理或者实操教程可以在评论区留言交流。文章对你有帮助的话欢迎点赞收藏持续学习网络安全知识以上就是今天的分享觉得有帮助记得点赞收藏以上所说到的漏洞扫描工具都整理成压缩包了朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】同时还为准备学习网络安全黑客或者正在学习整理了一套360独家内部资料包含以下内容如有需要也可文末获取①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】