渗透测试服务思考

织改善其安全现状。

以下是安全专家总结的渗透测试某些阶段的提示，以帮助您在日常工作中提供更高的业务价值。可以成为安全部门在内部提供标准化服务建设时的成熟小建议，同时也可以作为组织寻求企业级渗透测试服务的标准化要求。

1. 前期交互：

• 前期沟通时使用话术模板来指导语音会话，以确定参与的范围和规则。
• 对目标系统(MSSP、云提供商、ISP、共享托管环境、边界路由器、DNS服务器等)进行获取信息或进行操作时，请确保您获得了任何第三方的测试书面许可。
• 在与目标系统方人员交流制定您的规则时讨论同时使用黑盒与白盒测试，并指出白盒测试通常提供更详细的结果、更安全，并提供更好的商业价值。
• 与目标系统人员讨论他们在其环境中具有的特殊敏感的信息(例如PII)，以及如何在不实际下载的情况下测试对其数据的访问。考虑尝试使用植入通用的样本记录来演示您的访问权限，而不是实际的敏感数据。
• 每天与目标系统人员进行电话汇报，交流意见和经验教训。如果每天太频繁，可以考虑每周打2-3次电话。(每周留出1-2小时参加各种CTF比赛，保持你的技能熟练程度。这些比赛包括各大CTF网站提供的免费在线比赛或线下赛，以及其他类对抗比赛。)

2. 情报侦察：

• 仔细考虑与第三方服务器和搜索的所有交互(谨慎使用)，以确保您不会泄露有关目标的敏感信息或使用他们导致的违反保密协议。您可能需要考虑使用Tor网络来模糊隐匿您与目标组织的关系。
• 使用谷歌语法搜寻目标网站上常见的办公类文件，例如(或filetype:)：

（编辑：平顶山站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!