一、Web渗透测的介绍

    Web渗透测试服务以人工为主、工具为辅的形式为各行业提供专业的网站安全测试服务能够同时满足在内网和互联网环境下的安全测试，通过模拟真实的黑客攻击，有效验证系统现有安全项目的防护强度，直观了解资产的安全风险，及时发现在开发、运维、管理等方面存在的技术短板，洞悉安全隐患，提供有效的整改建议并在完善后进行全面复查，全力保障客户的Web安全。

二、Web渗透测的流程

（图：Web渗透测试流程图）

三、Web渗透测方法

    1、黑盒测试

    黑盒测试是指测试人员在对除目标系统的IP或域名信息以外，一概不知的情况下对系统发起的测试工作，完全模拟真实的黑客行为，充分了解外部恶意用户可能对系统带来的各种威胁。

    2、白盒测试

    白盒测试是指测试人员通过用户授权获取了部分信息后进行的测试，如获取了目标系统的帐号、配置甚至源代码等其他数据。基于获取少量信息后的白盒模拟测试可以更好地检测内部恶意用户可能为系统带来的安全问题。

    3、灰盒测试

    白盒测试和黑盒测试组合使用即是灰盒测试。通过白盒测试获取到的部分信息，加以分析利用后使用黑盒测试进行有针对的深度攻击测试，以便达到更好的渗透测试效果。

四、Web渗透测的常用工具

　　第一：Metasploit

　　Metasploit是网络安全专业人士和白帽子黑客的首选，有许多大神将自己的知识发布在这个平台上。它有许多渗透测试工具的集合，由PERL提供支持，可用于模拟需要的任何类型的渗透测试。最大的优点是能跟得上不断发展的变化。

　　第二：AppScan

　　AppScan是IBM的一款Web安全测试工具，价格昂贵，但功能强大，主要采用黑盒测试，通过网站主页爬取站下所有可见页面和后台，通过SQL注入和跨脚本攻击测试网站是否有漏洞，还会对cookie，会话周期等常见的web漏洞进行检测，对检测结果出具可视化报表，不仅能看到漏洞，还有详尽的漏洞原理，修改建议，手动验证等功能。

　　第三：BeEF

　　BeEF工具有利于移动的客户，因为它可用来检查Web浏览器，对抗web攻击。BeEF用GitHub找漏洞，它探索了Web边界和客户端系统之外的缺陷。很重要的是，它是专门针对web浏览器的，能够查看单个源上下文中的漏洞

　　第四：Wireshark

　　Wireshark是网络协议和数据包分析器，能实时消除安全漏洞。如果要用来分析基于Web的应用上发布到表单的信息和数据所固有的安全风险，那么它非常适合。它可从蓝牙、帧中继、Ipsec、Kerberos、IEEE 802.11，基于以太网的任何连接等收集实时数据，最棒的功能，还是分析结果的产生方式，并且通俗易懂。

　　第五：Wvs

　　Wvs是一款自动web安全测试工具，通过扫描网站链接和robots.txt文件，映射网站结构，自动向每个页面发起漏洞攻击，分析每个页面可输入的地方，发现漏洞之后会发出一个警告漏洞，每一个警告都有漏洞信息和修复建议，并有自带的报告工具可出具报告。

　　第六：John the Ripper

　　John the Ripper是一个很流行的密码破解工具，是渗透测试工具包中的一个很必要的补充。它可以用来确定数据库中的未知弱点，通过从传统字典中找到的复杂和流行的单词列表，获取文本字符样本，并用与正在生成的密码相同的格式，对其进行加密来达到目的。

　　第七：Acunetix Scanner

　　Acunetix Scanner是一个自动化工具，能帮助快速完成渗透测试，它能审计复杂的管理报告和问题，处理许多网络的漏洞，还能够包含带外漏洞。它有很高的检测率，涵盖了超过4500个弱点，此外这个工具包含AcuSensor技术，手动渗透工具和内置漏洞测试，可快速抓取数千个网页，也能在本地或通过云解决方案运行。