小白日志(6)

今天下午没课，小白正好接了一个任务，应雇主要求对某一网站进行渗透测试给出安全评估报告，这种能够入侵系统却不犯法的事情应该很棒呀，而且根据目标的难易程度还可以增加自己的经验和锻炼自己的实践能力，何乐而不为？只是小白好像没有什么感觉，一个已经对虚拟世界失去兴趣的小白真的很危险，因为他好像在逐渐模糊自己的信念。

渗透测试就是模拟黑客对目标系统进行入侵和撰写渗透测试报告，大致可以系统的分为几个流程，但不必拘泥于形式和规章，因为如果这样就违反了渗透测试的核心，渗透测试本来就是尽一切可能去入侵目标系统，发散的思维，精巧的攻击，不停的实践，不停的创新，而不是禁锢在陈旧的章程里。一个完整的渗透测试分为情报收集，漏洞利用，权限提升，后渗透利用阶段和撰写渗透测试报告等环节，不同的环节有着不同的工作，但是这些环节并不是完整的流线型，而是具有重叠和循环性质的整体。在渗透测试的过程中，我们一般都会使用各种工具来提高工作的效率，因此有一个自己熟悉的工作环境和完整的工具箱是很有必要的，但是完整的工具有时候并不能完成某些特定的任务或者一些精巧不容许存在误差的任务，所以我们也需要有各种脚本或者半成品脚本，必要时在渗透测试的过程中进行编写。渗透测试的周期因目标而定，有的周期很长，有的几个小时就可以完成，我们在渗透测试的过程中应该注重效率，知道什么事情可以交给计算机去分析，什么事情需要人工解决，这种人机工作模式可以节省时间和成本，把任务交给各自擅长的领域能很好的提高效率。在渗透测试过程中，我们一定要注意与雇主之间的约定，还要遵循法律许可的范围，在约定之外的行为如果被雇主发现，会造成很严重的后果，而且也不符合我们的初衷。此外渗透测试不会提升现有系统的安全架构能力，也就是说，渗透测试可以弥补安全缺陷，但不能提高安全能力，因为渗透测试没有带给目标系统新的安全技术。

因为目标网站是一个小目标，所以小白没有费多大功夫，很常规的走了下流程，先是收集了一些与目标有关的信息，接着对目标网站进行常规的服务和漏洞扫描，将出现的漏洞进行评级认定，提出了修补建议，小白没有更近一步的进行渗透，因为心底好像真的对计算机有了些抵触情绪，不知道这是不是自己必须经历的阶段，小白不清楚，只是强行将这种念头压了下去。其实小白找我的那晚我就已经察觉到了这样的苗头，我不知道应该如何劝说小白，我不想因为自己的片面见解非但没有帮到小白，反而给小白带去了更多的迷茫，且行且看，我相信小白，也相信自己。