一、什么是软件渗透测试?

　　软件渗透测试是针对计算机系统的模拟网络攻击，以检查可利用的漏洞。 在Web应用程序安全性的上下文中，渗透测试通常用于增强Web应用程序防火墙(WAF)。

　　二、软件渗透测试可以分为5个阶段

　　1.规划和侦察

　　需要定义测试的范围和目标，包括要解决的系统和要使用的测试方法。收集情报(例如，网络和域名，邮件服务器)以更好地了解目标的工作方式及其潜在漏洞。

　　2.扫描

　　了解目标应用程序将如何响应各种入侵尝试，通常使用动态分析和静态分析的方法完成此操作。

　　3.获得访问权限

　　此阶段使用Web应用程序攻击(例如跨站点脚本，SQL注入和后门程序)来发现目标的漏洞。然后，测试人员通常通过提升特权，窃取数据，拦截流量等尝试并利用这些漏洞，以了解它们可能造成的损害。

　　4.维护访问

　　此阶段的目标是查看该漏洞是否可用于在被利用的系统中实现持久存在-足够长的时间让恶意攻击者获得深入访问。 想法是模仿高级持续性威胁，这些威胁通常会在系统中保留数月，以窃取组织中最敏感的数据。

　　5.分析

　　将渗透测试的结果编译成详细的报告，包括被利用的特定漏洞、访问的敏感数据、测试工具能够被检测到而无法保留在系统中的时间，对这些信息进行分析，以帮助配置企业的WAF设置和其他应用程序安全解决方案，以修补漏洞并防御将来的攻击。