渗透测试 - 手动和自动

手动渗透测试和自动渗透测试的目的都是一样的。它们之间唯一的区别在于执行方式。顾名思义，手动渗透测试是由人(该领域的专家)完成的，而自动渗透测试则由机器本身完成。

本章将帮助您了解这两个术语的概念、区别和适用性。

什么是手动渗透测试?

手动渗透测试是由人进行的测试。在这种类型的测试中，机器的漏洞和风险由专家工程师测试。

通常，测试工程师执行以下方法 −

• 数据收集 − 数据收集在测试中起着关键作用。可以手动收集数据，也可以使用在线免费提供的工具服务(例如网页源代码分析技术等)。这些工具有助于收集表名、数据库版本、数据库、软件、硬件甚至不同第三方插件等信息。

• 漏洞评估 − 收集到数据后，它可以帮助测试人员识别安全漏洞并采取相应的预防措施。

• 实际漏洞利用 − 这是专家测试人员用来对目标系统发起攻击的典型方法，同样可以降低攻击风险。

• 报告准备 − 渗透完成后，测试人员将准备一份描述系统所有内容的最终报告。最后，分析报告以采取纠正措施来保护目标系统。

手动渗透测试的类型

手动渗透测试通常分为以下两种方式 −

• 重点手动渗透测试 − 这是一种重点突出的方法，用于测试特定的漏洞和风险。自动渗透测试无法执行此类测试；它只能由检查给定域内特定应用程序漏洞的人类专家完成。

• 综合手动渗透测试 − 它通过测试相互连接的整个系统来识别各种风险和漏洞。但是，这种测试的功能更具情境性，例如调查多个低风险故障是否会带来更多易受攻击的场景等。

什么是自动渗透测试?

自动渗透测试更快、更高效、更简单、更可靠，可以自动测试机器的漏洞和风险。这项技术不需要任何专业工程师，任何对这一领域有一点了解的人都可以运行它。

自动渗透测试的工具有 Nessus、Metasploit、OpenVAs、backtract(系列 5)等。这些都是非常有效的工具，改变了渗透测试的效率和意义。

但是，下表说明了手动和自动渗透测试之间的根本区别 −