从黑客思维谈Web渗透性测试

巨腾飞　王楠　赵少飞

摘 要：随着进入Web3.0时代，网站功能越趋复杂，尤其是互联网的广泛普及和应用，如电子政务、电子商务、网络办公、网络媒体以及虚拟社区的出现，正深刻影响着人类生活、工作的方式。与此同时，Web安全的重要性也在不断提升。网站功能越复杂就意味着更多的漏洞暴露于互联网之上，政府、企业各类组织所面临的Web安全问题越来越多样化、复杂化，黑客威胁正在飞速增长，给企业的信息网络造成严重的破坏甚至于不可挽回的损失。为了更好地应对这些更加复杂的黑客攻击，模拟黑客思维开展渗透性测试，找出网站所存在的脆弱性，更好地了解网站本身，以助于网站管理者更好地解决安全隐患。

关键词：网站；黑客；渗透性测试；脆弱性

中图分类号：TP306+.2 文献标识码：A

Abstract： With the advent of Web3.0， the functions of websites have become more and more complicated. In particular， the widespread adoption and application of the Internet， such as the emergence of e-government， e-commerce， online office， online media， and virtual communities， are profoundly affecting the way people live and work. . At the same time， the importance of Web security is constantly increasing. The more complex the website function means more vulnerabilities are exposed on the Internet. The Web security issues faced by various organizations of governments and enterprises are becoming more and more diversified and complicated. The threat of hackers is growing at a fast rate， causing the information network of enterprises to increase. Serious damage is even irreversible. In order to better deal with these more sophisticated hacking attacks， simulated hacker thinking to develop permeability tests， find the site's existing vulnerability， and better understand the site itself， to help website managers better solve security risks.

Key words： website； hacker； penetration testing； vulnerability

1 引言

互聯网网站是最重要、最普遍的信息系统入口，针对网站的攻击仍然是当前黑客主要攻击方式。2013年，互联网黑客地下产业仍然较为活跃，针对中国互联网站的篡改、后门攻击事件数量呈现逐年上升趋势，其中门户网站是重要的攻击目标。黑客的黑色产业追名逐利的特性日趋明显，以网站暗链、网页挂马为代表的黑客攻击以及仿冒门户网站是黑客重要的获利渠道。信息系统漏洞特别是高危漏洞呈现逐年递增趋势，这给了黑客发起大规模网络攻击或针对重要价值目标发起攻击的便利条件。网站信息系统所承载的数据机密性、服务可用性、信息完整性受到严重的威胁，影响到网站的服务体验和用户上网安全。

2 何为黑客

最早“黑客”这个词语由英语Hacker直译而来，是指专门探索、研究、发现计算机以及网络漏洞的计算机兴趣爱好者。他们是随着计算机不断发展而逐渐产生的。黑客对于网络有着极其执着的追求，他们通过不断地研究网络安全知识，从而发现网络中所存在的安全漏洞，喜欢挑战从高难度的网络系统中找到安全漏洞，然后向网络管理员提出漏洞的解决和修补方法。

黑客跟安全人员有着很大的区别。黑客往往非常的独立，总是一个人在狂热的编写代码，测试程序，寻找机会一些机会追逐利益，甚至肆意妄为。而安全人员则是队伍的一份子，有着各种各样规定或者纪律的约束，包括资源运用、部门之间的配合以及公司政策等。一个从安全角度考虑的想法，要让位于产品研发、市场推广、战略架构等。

3 黑客如何入侵网站

黑客往往入侵网站是不计后果的，所以相比于安全管理员更能直观的发现网站漏洞。一种黑客首先会进行大批量网站的扫描工作，发现网站存在的通用漏洞，然后进行批量漏洞验证，验证漏洞存在后直接利用网站漏洞进行网站入侵，进一步获取网站后台甚至服务器权限。另一种黑客更具针对性，首先会对目标网站进行漏扫，发现网站存在的应用漏洞，然后利用漏洞，直接达到获取网站后台甚至服务器权限，均通过修改网站页面或者盗取用户信息达到入侵目的，最后黑客将会在网站留下后门，方便下一次入侵，入侵完成后往往会进行日志清除工作，免除后顾之忧，让安全管理员无迹可寻。

4 如何开展Web渗透性测试

为了更加规范网站渗透性测试流程，参考黑客入侵网站思路，对网站开展非破坏性质的入侵，将渗透性测试流程总结为七点。

4.1 书面授权

任何渗透性测试都需要得到网站所有者进行书面的授权，任何未授权进行渗透性测试属于违法行为。

4.2 建立联系机制

在进行渗透测试工作前，应该与被测单位沟通确定好此次工作的内容、实施时间及联系人信息， 确保被测单位做好系统数据备份及突发情况下的应急预案。

4.3 信息收集

信息收集作为渗透性测试中最重要的一环，主要利用人工以及自动化方式进行，包括漏洞扫描、搜索引擎搜索、敏感路径扫描等方式，对网站的组件、脆弱性、站点信息等进行收集，对网站本身有一个较为全面的了解。

4.4 脆弱性分析

主要是通过分析信息收集所获取的网站信息，分析出可以被利用的脆弱性来进行深入的测试工作。一般主要分析通用组件脆弱性以及网站脆弱性。

4.5 脆弱性利用及记录过程

网站脆弱性利用通常采用的是SQL注入、存储型XSS、口令破解、上传Webshell、远程代码执行等方法获取相关网站甚至服务器管理员权限。在利用的过程中，记录漏洞的利用过程，包括测试过程截图以及相关资料留存，更加有利于测试单位全面、直观地认识到网站脆弱性利用所带来的实际危害。

4.6 消除影响

渗透性测试工作完成后，测试人员应进行测试痕迹清除工作，清理上传的Webshell（以免被其他人利用），测试账号以及验证痕迹等，对于一些无法清理的信息都会进行详细记录，提供给被测试方进行处理。

4.7 工作总结

本阶段作为测试的最终阶段主要是完成总结报告，总结网站渗透测试详细操作流程，对渗透测试过程中所发现的网站安全问题进行详细介绍并提出整改建议，对网站进行整体安全性分析。

5 结束语

本文主要基于黑客思维介绍网站渗透性测试，全面介绍了从认知黑客、黑客入侵网站思维及如何开展渗透性测试，着重介绍了渗透测试的流程。网站渗透性测试，主要强调对网站影响小、过程详细、总结到位，直观地展现给网站安全管理人员，使其对黑客有更加清晰的认知，了解到网络黑客攻击行为危害的严重性，更有助于提高网站管理人员安全管理能力。

參考文献

[1] 刘亮.计算机网络信息安全及对策分析[J].网络空间安全，2016（02）.

[2] 赵丽娟.Web应用程序渗透测试方法研究[D].中南大学，2014：8-13.

[3] 金涛.基于SQL注入的Web渗透技术取证方法的研究[J].网络空间安全，2016（03）.

[4] David.Litchfield Chris.Anley. The database hacker's handbook[M].Wiley Publishing Inc，2005.

作者简介：

巨腾飞（1990-） 男，汉族，陕西韩城人，西安邮电大学，信息安全专业，陕西省网络与信息安全测评中心，信息安全工程师，助理工程师；主要研究方向和关注领域：Web渗透测试、互联网云防御。

王楠（1991-） 男，汉族，陕西西安人，西安邮电大学，信息安全专业，陕西省网络与信息安全测评中心，信息安全工程师，助理工程师；主要研究方向和关注领域：Web渗透测试、互联网云防御。

赵少飞（1984-） 男，汉族，陕西渭南人，西安文理学院，计算机科学与技术专业，陕西省网络与信息安全测评中心，信息安全工程师，助理工程师；主要研究方向和关注领域：Web渗透测试、网站空间安全监测。