Web安全渗透测试流程研究

在互联网产业高速发展的今天,整个传统行业都在向"互联网+"靠近,企业信息化的过程中大多数应用都架设在Web平台上,随着SolarWinds供应链攻击、圆通百万用户个人信息泄露、委内瑞拉全国性断电等多起大型Web攻击事件的爆发,Web应用系统的安全风险达到了前所未有的高度。Web安全渗透测试已成为评估Web系统是否安全的重要手段。所谓Web安全渗透测试就是通过模拟从内部或外部对系统发起攻击,从而获取系统中的敏感信息的过程。以往对于Web安全渗透测试的研究偏重于对渗透测试某一阶段的研究,缺乏对整体渗透测试流程的探索,使得测试效率低下。本文首先阐述了Web安全渗透测试的概念,在综合实际需求的情况下,在传统渗透测试流程中新增威胁建模和漏洞分析阶段,总结出一套完整的渗透测试流程。