众所周知，在应用设计中的某个简单的缺陷、配置上的错误、以及网络钓鱼攻击，都可能给Web服务器造成巨大的损失。有统计显示，全球有75%的IT领导者，对其Web应用的安全性缺乏信心。因此近年来，Web应用的安全性已逐渐成为了各种规模的企业的日常关注与防范重点。

从目的上说，Web应用安全旨在：保护Web网站、应用、以及服务，免受那些针对应用级源代码弱点的、各种新增或既有的安全性威胁。下面，我将和您讨论和总结，在执行Web应用的渗透测试过程中，常用的步骤、方法与工具。

什么是Web应用渗透测试?

在组织内部、本地或云端的各类Web服务器，往往会持续面临着各种恶意源的攻击。为了降低此类风险，网络安全专家需要通过模拟针对Web应用、网站或服务的一系列攻击方式，以发现能够被网络攻击者轻易利用的各种漏洞，识别出潜在的威胁，以及掌握组织整体应用的安全态势。这个过程便是Web应用渗透测试。

了解渗透测试的核心步骤

Web应用安全性测试的关键步骤包括：

预备动作

确定被测组织的业务范围、目标、以及安全态势是至关重要的。测试人员需要在此阶段识别出，目标组织正在使用的虚拟资产和实物资产。据此，测试人员需要判断出将要对目标系统采取：黑盒测试、白盒测试、还是灰盒测试。

情报收集

此步骤对于分析Web应用的设置是至关重要的。我们通常分为被动和主动两个收集阶段。其中：

• 在被动阶段，测试人员主要收集那些可以在互联网上被轻松获得的信息，而无需直接与应用进行交互。例如，使用Google语法('site：*.domain.com')，来识别应用的子域，或使用Wayback Machine(译者注：自1996年以来，该站点持续给整个互联网做备份，累计完成了1500亿个网页)，来检查网站的存档版本。

• 在主动阶段，测试人员对目标系统进行探测，以提取可供进一步分析的实用信息。例如，对Web应用进行“指纹识别”，以发现所用到的技术版本，进而执行DNS查找，时区转换，触发错误页面，以及检查源代码等操作。

漏洞扫描与分析

在了解了系统内部的关键控制点之后，测试人员可以开始仔细检查那些可用来攻击的向量，以确定组织的重要信息是否存在着潜在风险。在这个阶段，他们通常会使用Zed Attack Proxy(ZAP)、Burp Suite Pro、以及Acunetix等工具，对目标应用的漏洞进行扫描，以识别安全漏洞，并了解应用是如何响应各种入侵尝试的。

利用阶段

有了前面收集到的各种详尽数据，以及对在扫描阶段发现漏洞的深入分析，测试人员选用各种可利用的技术和方法，实施渗透“攻击”。例如：使用SQL注入可以获得对于数据库的未授权访问权限;使用蛮力工具可以直接跳过授权机制;将恶意脚本上传至应用服务器，进而获取命令行Shell的访问权限等。

整理威胁并制定补救措施

根据渗透的效果，测试人员总结并评估已开展的测试，对已发现的威胁和风险进行严重性排序，形成有针对性的补救建议，并最终生成完整的深度报告。而在组织的IT团队修复了错误，并消除了漏洞之后，测试人员立即开展新的一轮渗透测试。

如果您想深入探究上述流程的话，请参阅：《5种Web应用安全威胁与7种防范措施》一文。

四种通过渗透测试识别威胁的常用方法

通常，合格的Web安全渗透专家会用到如下四种安全测试方法：

1. OWASP(开放式Web应用安全项目)

OWASP是一个致力于通过从高到低列举十大威胁，来增强软件系统安全性的实体。它汇集了来自全球各地的技术专家，他们不断分享着有关威胁和攻击的各种洞见。而OWASP Top10(十大漏洞)则是一套定期更新的知名文档。它突出展示了Web应用可能面临的10大最关键的威胁。其中包括：注入、失效的身份认证、敏感信息的泄漏、XML外部实体(XXE)，访问控制的破坏，安全配置的错误，跨站脚本XSS，不安全的反序列化，使用具有已知漏洞的组件，以及日志记录和监控的不到位。

2. PCI DSS(支付卡行业数据安全标准)

作为一组合同义务，PCI DSS旨在确保所有处理、存储或传输信用卡信息的组织，都能够维护一个安全的环境。它在全球范围内，被视为一种黄金标准，可被用来确保组织内各种付款类相关信息的安全性。

该标准不但提升了客户的信任度，而且有助于防止那些轻度违规事件，所导致的敏感信息的丢失。毕竟这些对于支付场景而言，都是至关重要的。

3. OSSTMM(开源安全测试方法)

作为一个开源的安全测试手册，OSSTMM每六个月会定期更新一次，以反映最新的网络威胁。它旨在通过一个系统性的、科学的过程，协助用户获取可靠的渗透测试报告，分析各种漏洞，红队行为，以及其他安全类活动。

OSSTMM所包含的测试范围包括：人员安全、物理安全、无线安全、电信安全、以及数据网络安全等测试。它能够无缝地与您当前用到的各种安全测试协议相连接​。

4. ISSAF(信息系统安全评估框架)

ISSAF旨在评估系统、应用控制和网络的安全性。它是由一个结构化的九步走组成。其中包括：收集信息，映射网络，识别漏洞，渗透，获取基本访问权限，提权，维持访问权限，破坏远程用户与站点，隐藏测试者的数字“足迹”。

客观而言，此类渗透测试与其他常用方法相比，略显复杂。如果您想深入探究上述方法的话，请参阅：《流行的渗透测试工具》一文。

可用于有效分析的七种渗透测试工具

目前，大多数渗透测试工具都属于自动化范畴。当然，其中也有部分工具需要测试人员手动触发和执行。而在实际应用场景中，我们往往需要将手动和自动化测试技术相结合。下面让我们来看一些最常用到的工具。

1. Zed攻击代理(ZAP)

ZAP是由OWASP维护的、最流行且最常用的开源式Web应用扫描程序之一。它实质上是通过“中间人代理”的方式，实现漏洞检测。也就是说，ZAP在逻辑上位于渗透测试人员的浏览器和目标Web应用之间，对于浏览器与Web应用间的往来消息，进行拦截，检查和修改。

2. Burp Suite Pro

作为最流行的渗透测试工具包之一，Burp Suite通常被用于识别Web应用的各种安全性漏洞。同样作为基于代理的工具，它能够拦截浏览器与任何目标应用之间的通信。

目前，该工具带有各种实用且强大的功能，其中包括：针对特定请求而生成的概念验证(proof-of-concept)式CSRF攻击，带有大量漏洞签名库的扫描程序，具有功能内容与潜在威胁自动化发现等功能。

3. Veracode

作为一款功能强大的静态分析工具，Veracode可以让您快速地识别和修复应用中的安全漏洞。同时，该工具能够在无需源代码的情况下，分析出应用的主要安全框架和编程语言。

在实际应用中，它可以通过集成到您的软件开发生命周期中，方便开发团队编写出安全的代码，并且评估Web、移动、以及后端应用的安全性。

4. SQLMap

作为被广泛使用的开源工具之一，SQLMap可以被用于识别和利用数据库的相关漏洞(例如SQL注入)，以及对数据库服务器实施接管。目前，该工具主要支持诸如：MySQL、MSSQL、MongoDB、Oracle、以及PostgreSQL等DBMS(数据库管理系统)。

5.Vega

Vega是另一款开源的Web应用漏洞扫描工具。它可以帮助您快速地发现和验证诸如XSS(跨站点脚本攻击)、SQL注入、以及其他可能让Web应用暴露在风险之中的关键性漏洞。作为一款由Java编写的、基于GUI的工具，Vega能够支持诸如：Linux、Windows和OS X等主流操作系统。

6. Arachni

Arachni能够通过对Web应用执行安全性测试，以识别，分类，分析和记录各种安全性问题。与其他扫描工具不同的是，Arachni考虑到了Web应用的动态性。它可以检测在复杂性路径中，由漂移(drifting)引发的变化，并据此作出相应的调整。因此，它是渗透测试人员和管理员的理想选择。

7. Dirb

作为针对Web内容的实用扫描工具，Dirb通过对Web服务器发起基于字典的攻击、或蛮力攻击，来识别应用中现有或隐藏的Web目录。同时，Dirb属于命令行类型的实用程序。它可以提供专业的Web应用审核，进而保障组织在Web应用中敏感数据的安全性。