◆李维峰

Web应用程序渗透测试浅析

◆李维峰

（中国飞行试验研究院 陕西 710089）

渗透测试是在Web应用程序中查找漏洞的最佳方法，这也是大多数Web应用程序使用最广泛的安全测试策略。所谓Web应用程序渗透测试就是通过模拟从内部或外部发起的攻击，尝试访问系统中的敏感数据。渗透测试使用户可以确定整个Web应用程序及其各个组件（包括源代码，数据库和后端网络）的任何安全漏洞，这可以帮助开发人员确定已确定的漏洞和威胁的优先级，并提出缓解策略。

渗透测试；Web应用程序；漏洞

1 渗透测试的重要性

时至今日我们所做的几乎所有事情都可以通过互联网完成。从购物到银行业务再到日常交易，大多数都可以数字方式完成。并且我们只通过几个Web应用程序就可以完成所有这些在线活动。Web应用程序的普及引入了另一种攻击媒介，恶意第三方可以利用这些攻击手段来谋取个人利益。由于Web应用程序通常会存储或发送敏感数据，因此始终确保这些应用程序（尤其是那些公开暴露于万维网的应用程序）的安全至关重要。简而言之，渗透测试是一种预防性控制措施，可让您分析系统现有安全层的整体状态。

以下是对Web应用程序进行的渗透测试的共同目标：

（1）识别未知漏洞；

（2）检查现有安全策略的有效性；

（3）测试公开的组件，包括防火墙，路由器和DNS；

（4）确定最容易受到攻击的路线；

（5）寻找可能导致数据泄露的漏洞。

如果考虑到当前的互联网使用情况，您会发现移动互联网的使用量急剧增加，这意味着移动攻击的可能性直接增加。……