滲透測試工具基礎(chǔ)方法篇

1、這幾天整理了下網(wǎng)站滲透測試中基礎(chǔ)部分的第三節(jié)我們SINE安全滲透工程師對代碼安全審計手工滲透測試檢查代碼的危險漏洞方法找出安全問題重點配合工具掃描來達到測試漏洞的目的本測試重點僅限于客戶授權(quán)才能操作切記忽非法嘗試入侵！以下方法只是提供網(wǎng)站安全檢測的具體參考意見。1.5.代碼審計1.5.1.簡介代碼審計是找到應(yīng)用缺陷的過程。其通常有白盒、黑盒、灰盒等方式。白盒指通過對源代碼的分析找到應(yīng)用缺陷，黑盒通常不涉及到源代碼，多使用模糊測試的方式，

2、而灰盒則是黑白結(jié)合的方式。1.5.2.常用概念1.5.2.1.輸入應(yīng)用的輸入，可以是請求的參數(shù)（GET、POST等）、上傳的文件、網(wǎng)絡(luò)、數(shù)據(jù)庫等用戶可控或者間接可控的地方。而后，DahseJ等人設(shè)計了RIPS，該工具進行數(shù)據(jù)流與控制流分析，結(jié)合過程內(nèi)與過程間的分析得到審計結(jié)果，相對危險函數(shù)匹配的方式來說誤報率少了很多，但是同樣的也增加了開銷。1.5.3.3.灰盒分析國內(nèi)安全研究員fate0提出了基于運行時的分析方式，解決了控制流分析實現(xiàn)