Web应用程序渗透测试
Web应用程序渗透测试
Web应用程序渗透测试(WAPT)是一种识别和预防Web应用程序安全问题的方法。WAPT涉及使用和理解Web应用程序漏洞、工具、技术和程序，以识别Web应用程序中可能被黑客或其他未经授权的个人用于恶意目的的安全问题。Web应用程序是设计用于在Internet信息服务(IIS)、Apache Tomcat等Web服务器上运行的程序。它们的范围从简单的基于文本的计算器一直到复杂的电子商务解决方案，如亚马逊的Marketplace平台；其中包括同时运行的许多不同服务：身份验证系统、数据库、网站等。
要执行有效的Web应用程序渗透测试，需要深入了解Web应用程序中使用的技术，例如Web服务器、Web应用程序框架和Web编程语言。
执行Web应用程序渗透测试有什么好处？
1.Web应用程序渗透测试是检测Web应用程序漏洞和安全问题的最有效方法。使用WAPT，您可以查明您的Web应用程序是否可被黑客入侵，这意味着它们是否存在可被黑客或其他未经授权的个人用于恶意目的的漏洞；
2.您可以在安全的环境中测试Web应用程序，而不必担心在渗透测试期间关闭生产系统；它有助于在攻击者之前发现问题，让您在用户数据受到威胁之前采取行动。
3.Web应用程序渗透测试可以帮助Web安全专业人员了解Web应用程序的工作原理、Web应用程序中使用了哪些技术以及攻击者利用了哪些Web应用程序漏洞；它使您可以更好地了解应用程序的攻击面，以便采取适当的对策。
Web渗透测试人员通常遵循以下步骤
了解您的目标应用程序是如何工作的(例如:它依赖于什么技术等。)使用自动或手动工具扫描目标应用程序，寻找客户端代码中的漏洞，如Javascript、Flash对象、cookies等活动内容。当发现漏洞时，利用它获取有关其出现根本因素的更多信息，然后尝试修复该漏洞。
以下是网络渗透测试人员通常做的事情:
1.列举网络应用和网络服务器。
2.确定目标应用程序、其技术(服务器、框架)和编程语言。
3.使用Burp Suite或Acunetix等工具执行手动渗透测试，以发现客户端代码中的漏洞，如Javascript、闪存对象等。
4.使用像Netsparker或惠普Web Inspect这样的自动扫描仪来识别已知的网络服务器和框架相关漏洞。自动WAPT工具也可用于利用在圣灵降临节的手动测试阶段发现的网络应用程序漏洞。
5.完成网络应用源代码分析如有必要，您可以通过在输入数据到达网络应用程序网络服务器之前对其实施适当的过滤器来修复安全问题。
