?在互聯(lián)網(wǎng)的早期，安全只是一個(gè)事后的想法。然后，隨著黑客開始利用企業(yè)松懈的安全姿態(tài)，情況逐漸開始發(fā)生變化。起初，像電子前哨基金會(huì)這樣的非營利組織開始推動(dòng)網(wǎng)絡(luò)用戶使用 HTTPS Everywhere。作為回應(yīng)，認(rèn)證機(jī)構(gòu)開始向任何想要 SSL 證書的站點(diǎn)管理員提供免費(fèi)的 SSL 證書變體。因此，至少79.6% 的活躍網(wǎng)站現(xiàn)在使用 SSL。

那只是開始。在接下來的幾年里，開發(fā)者和 web 應(yīng)用管理員逐漸開始加強(qiáng)他們的應(yīng)用來抵御各種各樣的攻擊。他們推出了更復(fù)雜的密碼要求。他們開始添加雙因素身份驗(yàn)證作為默認(rèn)措施。他們甚至開始將面向公眾的服務(wù)置于高性能的 Web 應(yīng)用防火墻之后。

但是盡管取得了所有的進(jìn)步，漏洞依然存在，這意味著 web 應(yīng)用開發(fā)者和管理員必須了解如何對他們的系統(tǒng)進(jìn)行滲透測試，以查看是否有任何已知的漏洞可以穿透他們的多層防御。要做到這一點(diǎn)，他們必須了解滲透測試過程的各個(gè)階段，以避免留下任何安全漏洞。下面是 Web 應(yīng)用程序滲透測試涉及的四個(gè)主要步驟。

步驟1: 觀察和偵察

Web 應(yīng)用程序滲透測試過程中的第一個(gè)重要步驟涉及采取與攻擊者相同的策略: 盡可能地了解目標(biāo)。首先要做的是從谷歌這樣的公共網(wǎng)站上收集目標(biāo)網(wǎng)絡(luò)應(yīng)用的信息。使用搜索修飾符，可以收集與應(yīng)用程序相關(guān)的子域名和頁面的完整列表。這為黑客必須處理的潛在攻擊提供了一個(gè)相當(dāng)不錯(cuò)的地圖。

接下來要做的是使用像 Nmap 這樣的網(wǎng)絡(luò)掃描儀來收集特定于 web 應(yīng)用程序本身的數(shù)據(jù)。其思想是弄清楚有多少關(guān)于軟件和服務(wù)器的信息對外部世界是可見的。然后，使用像 Burp Suite 這樣的安全測試軟件進(jìn)行全面掃描，應(yīng)該可以顯示從服務(wù)器軟件版本到應(yīng)用程序環(huán)境的所有信息。

步驟2: 漏洞研究和攻擊

Web 應(yīng)用程序滲透測試過程的下一個(gè)主要步驟是使用收集的數(shù)據(jù)開始縮小可嘗試?yán)玫穆┒戳斜怼Q句話說，如果您發(fā)現(xiàn)攻擊者可以告訴您正在使用某個(gè)特定的 Apache 和 PHP 版本，那么您應(yīng)該開始尋找這些版本中已知的漏洞，以便嘗試?yán)盟鼈儭?/p>

幸運(yùn)的是，一些偉大的開源滲透測試工具可以自動(dòng)化一些工作。您可以根據(jù)所檢查的漏洞類型從中進(jìn)行選擇。受歡迎的選擇包括:

• W3af
• Metasploit
• SQLMap
• Hydra 九頭蛇

其思想是嘗試找到每一個(gè)潛在的可利用的漏洞，并將找到的漏洞編目。如果可能的話，最好使用這些漏洞模擬攻擊，以了解惡意行為者利用這些漏洞能走多遠(yuǎn)。

步驟3: 目錄和報(bào)告

該過程的下一步是創(chuàng)建一個(gè)報(bào)告，該報(bào)告詳細(xì)說明在前兩個(gè)步驟中找到的所有內(nèi)容。這個(gè)想法是創(chuàng)建一個(gè)中央知識(shí)庫，整個(gè)開發(fā)團(tuán)隊(duì)可以將其作為修復(fù)問題的路線圖。這就是您在攻擊模擬中收集的數(shù)據(jù)將派上用場的地方。

報(bào)告應(yīng)該根據(jù)漏洞的嚴(yán)重程度對它們進(jìn)行分類。有各種公開可用的示例滲透測試報(bào)告，您可以使用它們來開發(fā)適合您需要的格式。這樣的話，關(guān)閉所有安全漏洞的工作就更容易分清主次了。如果您正在處理一個(gè)已經(jīng)在運(yùn)行的應(yīng)用程序，那么這是一個(gè)絕對關(guān)鍵的步驟。請記住，您發(fā)現(xiàn)的漏洞可能已經(jīng)在黑客的雷達(dá)上，所以您越快修補(bǔ)嚴(yán)重的漏洞越好。

步驟4: 修補(bǔ)和重復(fù)

最后一步是審閱滲透測試報(bào)告，并開始解決其中確定的漏洞。對于一個(gè)已經(jīng)存在的應(yīng)用程序，最好從應(yīng)用盡可能多的權(quán)宜之計(jì)開始。這些可能包括改變網(wǎng)站訪問規(guī)則在你的網(wǎng)頁應(yīng)用層防火墻或采取特別脆弱的部分你的應(yīng)用離線。

然后，繼續(xù)決定報(bào)告中漏洞的最佳可能修復(fù)方案。從最嚴(yán)重的問題開始，簡單地檢查每個(gè)問題，因?yàn)樗呀?jīng)修復(fù)，同時(shí)仔細(xì)記錄下修復(fù)是什么，以及它們可能影響應(yīng)用程序的其他部分。這將幫助您知道在哪里集中于您的下一輪測試，您將不得不在完成補(bǔ)救工作之后開始。

創(chuàng)建一個(gè)硬目標(biāo)

通過重復(fù)上述過程，直到?jīng)]有漏洞被發(fā)現(xiàn)，Web 應(yīng)用程序開發(fā)人員和管理員可以合理地保證，他們不是一個(gè)坐以待斃的鴨子，等待攻擊。當(dāng)然，這只是針對已知的漏洞，因此這個(gè)過程不會(huì)使攻擊變得不可能，只是不太可能。在不斷變化的網(wǎng)絡(luò)安全環(huán)境中，這通常是人們所能期望的最好結(jié)果。請記住，不久以前，SSL 和復(fù)雜的密碼還是 Web 應(yīng)用程序安全的最終目標(biāo)，因此持續(xù)的警惕將永遠(yuǎn)是真正安全的代價(jià)。?