渗透测试原则及流程

什么是渗透测试

渗透测试是可以帮助用户对目前自己的网络、系统、应用的缺陷有相对直观的认识和了解。渗透测试尽可能地以黑客视角对用户网络安全性进行检查，对目标网络、系统和应用的安全性作深入的探测，发现系统最脆弱的环节的过程。渗透测试能够直观的让管理人员知道自己网络所面临的问题。

渗透测试原则

• 稳定性原则

  稳定性原则是指渗透测试工作应该在能够确保信息系统持续稳定运行的前提下进行。通过合理的选择测试工具、测试方法和测试时间，将渗透测试对系统正常运行的影响降到最小。

• 可控性原则

  可控性原则是指渗透测试工作应该控制在客户授权许可的范围内进行，并通知客户提前做好系统备份，同时对渗透测试过程进行监控，记录测试过程，确保一旦发生异常能够及时发现并恢复。

• 最小影响原则

  渗透测试是模拟黑客可能使用的工具和方法等对目标系统、网络或应用进行攻击，渗透测试过程中应遵循最小影响原则，将对业务的影响降到最低。

• 非破坏性原则

  渗透测试并非真正的黑客攻击，其目的在于刺探目标的薄弱环节，而非破坏测试目标系统、网络或应用。

• 全面深入性原则

  渗透测试中使用全面的技术对目标网络和系统进行渗透，以最大程度地发现网络和系统存在的安全隐患。

• 保密性原则

  渗透测试过程中发现的系统漏洞等信息应严格保密，防止这些信息泄露出去后不法之徒在漏洞修补前对系统进行攻击或非法利用。

渗透测试流程

• 前期交互阶段

  在前期交互（Pre-EngagementInteraction）阶段，渗透测试团队与客户组织进行