电脑渗透测试可以根据不同的分类标准进行划分,以下是几种常见的分类方式:
根据测试方法分类
黑箱测试:渗透者对系统完全不了解,通过DNS、Web、Email和各种公开的外部服务器获取原始信息。
白盒测试:测试人员可以通过正常渠道获取系统内部的各种信息,包括网络拓扑、员工资料、网站或程序的代码片段等。
隐秘测试:测试单位网络管理部门会收到通知,但被测单位中只有极少数人知晓测试的存在,用于检验信息安全事件监控、响应、恢复是否到位。
灰盒测试:介于白盒测试和黑盒测试之间,测试人员对目标系统有所了解,但又不全面。
根据测试目标分类
主机操作系统渗透:针对Windows、Solaris、AIX、Linux等操作系统本身进行测试。
数据库系统渗透:针对MS-SQL、Oracle、MySQL等数据库应用系统进行测试。
应用系统渗透:针对各种应用程序如ASP、CGI、JSP、PHP等进行测试。
网络设备渗透:针对防火墙、入侵检测系统、网络设备等进行测试。
根据测试范围分类
网络渗透测试:评估网络基础设施的安全性,发现其中的漏洞和攻击面。
Web应用渗透测试:评估Web应用程序的安全性,包括SQL注入、XSS、CSRF等攻击。
无线网络渗透测试:评估无线网络的安全性,发现其中的漏洞和薄弱点。
物理渗透测试:评估物理环境中的安全性,如办公室、数据中心等地方。
社会工程渗透测试:评估人的行为和安全意识,通过欺骗、操纵或伪装获取未经授权的信息或访问。
根据测试目的分类
证明网络防御的有效性:通过模拟攻击来验证网络防御是否按照预期执行。
发现系统漏洞:通过各种手段发现系统中的安全漏洞,以便进行修复。
这些分类方式并不是互斥的,实际应用中可能会根据具体需求进行组合使用。例如,在进行网络渗透测试时,可能会结合黑箱测试和白盒测试的方法,以获取更全面的测试结果。