渗透测试

定义

渗透测试是一种以攻击者视角进行的安全检验活动，在事先取得授权的前提下，使用与真实入侵者相近的工具和技术，评判信息系统的防护是否经得起实际攻击^[1][2]。英国国家网络安全中心将其描述为：通过尝试突破系统全部或部分安全措施，来获得对系统安全性的信任^[1]。测试不仅要找出薄弱环节，也要确认哪些防御实际有效，从而支撑完整的风险评估^[1]。

这一活动常与漏洞评估相区别：漏洞评估以列举和分级为目标的发现工作为主，渗透测试则进一步验证漏洞能否被真正利用、能深入系统多远^[3][4]。有从业观点认为，渗透测试的落点并非穷举漏洞，而是检验控制措施与防御手段是否失效^[5]。

按测试者对目标内部情况的了解程度，通常划分为黑盒测试、白盒测试与灰盒测试3类：黑盒仅给出域名或地址，模拟外部攻击者；白盒提供源码、文档与账号等资料，便于深入代码层；灰盒介于两者之间，如仅提供普通用户权限^[3][6][7]。

原理

渗透测试的基本思路是复制攻击链：先确定目标与范围，再收集暴露面信息，随后验证并利用漏洞取得权限，最后评估影响并交付报告^[8][2]。信息收集阶段多借助公开来源情报、子域枚举、端口与服务识别等手段，把可攻击面测绘出来；漏洞分析阶段则把扫描器的原始结果人工确认，剔除误报^[9]。

利用阶段通常借助现成的利用框架装载针对特定漏洞的攻击模块与载荷，取得命令执行或会话控制；若获得初步权限，还可进行提权与横向移动，以衡量单个入口能造成多大范围的失陷^[1][10]。测试结束后需清理遗留的账号、文件与后门，使系统恢复原状，再把发现按风险等级整理为执行摘要、漏洞详情和修复建议^[9][1]。

flowchart LR

A[授权与范围确认] --> B[信息收集]

B --> C[威胁建模]

C --> D[漏洞分析]

D --> E[漏洞利用]

E --> F[后渗透]

F --> G[报告与整改]

发展历程

计算机渗透作为检验手段的想法出现于分时系统普及的年代。1965年6月，美国系统开发公司举办的一次系统安全会议上，与会者得知有员工能轻易绕过该公司分时计算机的多项防护，会议因此提出开展“突破分时系统安全防护”一类研究，被视为较早的正式动议^[1]。1968年春季联合计算机会议上，多兰德公司与美国国家安全局的研究者用“渗透”一词描述对计算机系统的攻击，随后美国国防部组织专家评估分时系统的安全性^[1]。

20世纪70年代，政府与业界开始组建被称为“猛虎小队”的团队，主动攻击自家系统以找出并修补安全缺口；差不多同一时期，RAND公司开展了早期渗透研究，并认为这类演练能够说明已实施防护措施的有效性^[1]。1971年，詹姆斯·安德森受美国空军委托研究五角大楼分时系统安全，归纳出寻找漏洞、设计攻击、实施并利用入口的步骤，对后来的测试流程影响较大^[1]。

方法论在21世纪逐步标准化。开源安全测试方法手册（OSSTMM）由安全与开放方法研究所推出，提供可同行评审的测试框架；开放式Web应用程序安全项目（OWASP）则以测试指南和十大风险清单支撑Web方向的测试^[2]。渗透测试执行标准（PTES）由信息安全专家团队设计，把过程划为前期交互、情报收集、威胁建模、漏洞分析、漏洞利用、后渗透和报告7个阶段，旨在成为业界共同基准^[2][11]。美国国家标准与技术研究院2008年发布的SP 800-115，则为技术性安全测试与评估提供了规划、执行和结果分析方面的建议。

应用

渗透测试的对象覆盖较广，包括对外与对内网络、Web应用与接口、移动应用、无线网络、物联网与工控系统，以及借助社会工程学对人员环节的检验^[9][1]。在软件研发流程中，它可以作为常规安全风险管理的组成部分，与威胁建模、代码审查等措施配合使用^[3]。

合规要求是需求侧的重要来源。支付卡行业数据安全标准要求按固定周期以及在系统变更之后进行渗透测试^[1]。中国的网络安全等级保护制度将渗透测试纳入安全评估范畴，相关标准GB/T 22239-2019对漏洞与风险管理提出定期测评、以漏洞扫描和渗透测试等方式发现已知漏洞的要求^[12][13]。

在服务形态上，测试可由组织内部团队实施，也可委托具备经验的第三方完成；结果通常用于修复优先级排序和修复后的复测，以确认整改是否奏效^[3][1]。

局限

渗透测试只能反映特定时点的状况。测试范围与时间窗口事先划定，结果相当于一份快照，测试完成后系统仍在变化，报告可能很快失去参考价值^[5][14]。它是经济与合作发展组织之外的补充手段，通常仍需与持续监测、自动化扫描结合使用，才可能覆盖全部暴露资产^[15]。

覆盖面上，测试只针对已列入范围的对象，对未被登记的影子资产、云端被遗忘的资源往往无能为力；针对人员的社会工程检验也带有偶然性^[5][15]。由于依赖专家手工推理，理论上无法穷尽所有问题，成果质量也高度依赖测试者水平^[5][16]。

此外，真实利用漏洞本身带有风险，操作失误可能导致业务中断或数据受损；测试过程中接触到的敏感数据也需要约定处理方式^[5]。成本同样是限制因素，费用高企使测试难以覆盖全部应用，也难以提高频次^[15]。测试结论偏技术性，还需放回业务语境中解释才能支撑决策^[5]。

参见

• 漏洞评估 —— 只发现并分级漏洞，通常与渗透测试配合使用的评估方式。

• 黑盒测试 —— 不提供目标内部信息、模拟外部攻击者的测试方式。

• 白盒测试 —— 提供源码与架构资料、便于深入审查的测试方式。

• OWASP —— 发布Web应用测试指南与十大风险清单的开源组织。

• 渗透测试执行标准 —— 把渗透测试划为7个阶段的业界方法论。

• 红队 —— 模拟真实攻击者策略、技术与程序的进攻性安全团队。