1.1　网络安全渗透测试概述

对于网络安全渗透测试，目前并没有一个标准的定义，网络安全业界对此的通用说法是，一种通过模拟黑客攻击，使用黑客技术、方法实现对目标系统或网络进行安全评估的方法。即通过模拟真实黑客攻击，对测试目标进行全方位的弱点、漏洞、技术缺陷分析，以黑客的视角去发现问题，并最终形成测试报告，详细阐述在当前目标系统中发现的安全问题，并给出相应的防御措施和改进建议。

网络安全业界普遍将渗透测试分为两类：黑盒测试和白盒测试。黑盒测试指测试人员在完全不清楚目标单位内部基础设施情况下进行的测试，在渗透测试的各个阶段，借助黑客技术，从外部网络对目标单位实施安全评估。白盒测试指测试人员在被测单位的配合下，在完全了解被测单位的内部情况，包括网络结构、安全防护体系、内部技术资料、管理手段等信息基础上进行的测试，这种测试比黑盒测试节省了大量的信息探测与收集时间，能以最小的工作量达到最高的评估精度。

不论采用哪类渗透测试方法，渗透测试都有以下特性。

（1）渗透测试是一个逐步深入的过程。

（2）渗透测试要选择不影响目标单位正常业务的攻击方法。

（3）须遵守国家有关法律法规，不能借渗透技术实施违法犯罪行为。

（4） 须遵守商业道德，不把渗透测试获取的目标单位信息、数据外传或用于非法目的。

（5）渗透测试的目的是改善目标单位的安全防护水平。