渗透测试七个步骤渗透测试的步骤有哪些

知识中心

您的位置：朵拉利品网 > 知识中心 > 渗透测试七个步骤渗透测试的步骤有哪些

渗透测试七个步骤渗透测试的步骤有哪些

2020-05-20 11:22:14 来源：朵拉利品网

1, 渗透测试的步骤有哪些

一、工具原料：
1、android APP包
2、安应用
二、APP和网站的渗透测试不太一样，我给你介绍一个android的渗透测试步骤吧：
1、组件安全检测。
对Activity安全、Broadcast Receiver安全、Service安全、Content Provider安全、Intent安全和WebView的规范使用检测分析，发现因为程序中不规范使用导致的组件漏洞。
2、代码安全检测
对代码混淆、Dex保护、SO保护、资源文件保护以及第三方加载库的代码的安全处理进行检测分析，发现代码被反编译和破解的漏洞。
3、内存安全检测。
检测APP运行过程中的内存处理和保护机制进行检测分析，发现是否存在被修改和破坏的漏洞风险。
4、数据安全检测。
对数据输入、数据存储、存储数据类别、数据访问控制、敏感数据加密、内存数据安全、数据传输、证书验证、远程数据通信加密、数据传输完整性、本地数据通讯安全、会话安全、数据输出、调试信息、敏感信息显示等过程进行漏洞检测，发现数据存储和处理过程中被非法调用、传输和窃取漏洞。
5、业务安全检测。
对用户登录，密码管理，支付安全，身份认证，超时设置，异常处理等进行检测分析，发现业务处理过程中的潜在漏洞。
6、应用管理检测。
1）、下载安装：检测是否有安全的应用发布渠道供用户下载。检测各应用市场是否存在二次打包的恶意应用；
2）、应用卸载：检测应用卸载是否清除完全，是否残留数据；
3）、版本升级：检测是否具备在线版本检测、升级功能。检测升级过程是否会被第三方劫持、欺骗等漏洞；
三、如果是涉及到服务流程的话，通用流程是这样的：
1、确定意向。
1）、在线填写表单：企业填写测试需求；
2）、商务沟通：商务在收到表单后，会立即和意向客户取得沟通，确定测试意向，签订合作合同；
2、启动测试。
收集材料：一般包括系统帐号、稳定的测试环境、业务流程等。
3、执行测试。
1）、风险分析：熟悉系统、进行风险分析，设计测试风险点；
2）、漏洞挖掘：安全测试专家分组进行安全渗透测试，提交漏洞；
3）、报告汇总：汇总系统风险评估结果和漏洞，发送测试报告。
4、交付完成。
1）、漏洞修复：企业按照测试报告进行修复；
2）、回归测试：双方依据合同结算测试费用，企业支付费用。

2, 渗透检测的一般步骤及要求

1.被检物表面处理。
2.施加渗透液。
3.停滞一定时间。
4.表面渗透液清洗。
5.施加显像剂。
6.缺陷内部残留的渗透液被显像剂吸附出来，进行观察。
7.缺陷判定。
一、表面处理
对表面处理的基本要求就是，任何可能影响渗透检测的污染物必须清除干净，同时，又不能损伤被检工件的工作功能。渗透检测工作准备范围应从检测部位四周向外扩展25mm以上。
污染物的清除方法有：机械清理，化学清洗和溶剂清洗，在选用时应进行综合考虑。特别注意涂层必须用化学的方法进行去除而不能用打磨的方法。
二、渗透剂的施加
常用的施加方法有喷涂、刷涂、浇涂和浸涂。
渗透时间是一个很重要的因素，一般来说，施加渗透剂的时间不得少于10min，对于应力腐蚀裂纹因其特别细微，渗透时间需更长，可以长达2小时。
渗透温度一般控制在10~50℃范围内，温度太高，渗透剂容易干在被检工件上，给清洗带来困难；温度太低，渗透剂变稠，动态渗透参量受到影响。当被检工件的温度不在推荐范围内时，可进行性能对比试验，以此来验证检测结果的可靠性。
在整个渗透时间内应让被检表面处于润湿状态。
三、渗透剂的去除
在渗透剂的去除时，既要防止过清洗又要防止清洗不足，清洗过度可能导致缺陷显示不出来或漏检，清洗不足又会使得背景过浓，不利于观察。
水洗型渗透剂的去除：水温为10~40℃，水压不超过0.34MPa，在得到合适的背景的前提下，水洗的时间越短越好。
后乳化型渗透剂的去除：乳化工序是后乳化型渗透检测工艺的最关键步骤，必须严格控制乳化时间防止过乳化，在得到合适的背景的前提下，乳化的时间越短越好。
溶剂去除型渗透剂的去除：应注意不得往复擦拭，不得用清洗剂直接冲洗被检表面。
四、显像剂的施加
显像剂的施加方式有喷涂、刷涂、浇涂和浸涂等，喷涂时距离被检表面为300~400mm，喷涂方向与被检面的夹角为30~40°，刷涂时一个部位不允许往复刷涂几次。
五、观察
观察显示应在显像剂施加后7~60min内进行。
观察的光源应满足要求，一般白光照度应大于1000Lx，无法满足时，不得低于500Lx，荧光检测时，暗室的白光照度不应大于20Lx，距离黑光灯380mm处，被检表面辐照度不低于1000μW/。
在进行荧光检测时，检测人员进入暗室应有暗适应时间。
六、缺陷评定
按照标准要求进行记录和评定。

名词解释

检测

用指定的方法检验测试某种物体（气体、液体、固体）指定的技术性能指标。适用于各种行业范畴的质量评定，如：土木建筑工程、水利、食品、化学、环境、机械、机器等等。

漏洞

漏洞（英文缩写：BUG）是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。具体举例来说，比如在Intel Pentium芯片中存在的逻辑错误，在Sendmail早期版本中的编程错误，在NFS协议中认证方式上的弱点，在Unix系统管理员设置匿名Ftp服务时配置不当的问题都可能被攻击者使用，威胁到系统的安全。因而这些都可以认为是系统中存在的安全漏洞。漏洞按严重程度分为“紧急”、“重要”、“警告”、“注意”四种。

安全

安全是指没有受到威胁、没有危险、危害、损失。人类的整体与生存环境资源的和谐相处，互相不伤害，不存在危险、危害的隐患, 是免除了不可接受的损害风险的状态。安全是在人类生产过程中，将系统的运行状态对人类的生命、财产、环境可能产生的损害控制在人类能接受水平以下的状态。中国当前的国家的安全观：政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全等11种。