渗透测试的分类有哪些各有什么特点

渗透测试的渗透什特分类有哪些各有什么特点

去年给一家做跨境电商的客户做测试，他们CTO开口就问：“你们做黑盒还是测试白盒？”我回了一句：“先看你们能给我什么。”他愣了下。分点这行干久了会发现，渗透什特分类不是测试学术标签，直接决定你能挖出什么洞、分点要花多少时间、渗透什特以及客户会不会在报告里跟你扯皮。测试

渗透测试按信息给多少来分，分点就三种：黑盒、渗透什特白盒、测试灰盒。分点黑盒最像真实攻击——你手里只有一个域名或IP，渗透什特其他全靠自己摸。测试我试过对一个目标扫了三天端口才找到入口，分点结果进去发现是台蜜罐。黑盒的优点是能验证外部暴露面，缺点是效率低，容易漏掉内部逻辑漏洞。客户如果只关心“外面能不能打进来”，黑盒够用。但你要是想测业务逻辑，比如优惠券能不能无限领，黑盒几乎测不出来，因为你连正常流程都摸不全。

白盒反过来。客户把源码、架构图、甚至数据库账号都给你。这时候你不再猜，直接看代码找注入点、硬编码密钥、反序列化入口。我见过一个Java项目，白盒下十分钟就定位到某个Controller没做权限校验，黑盒可能扫一个月都碰不到那个接口。白盒的短板是太理想化——真实攻击者拿不到源码。而且容易陷入“代码审计”的惯性，忽略部署环境里的错误配置。有次白盒测完没发现问题，结果上线后运维把调试接口暴露了，照样被黑。

灰盒介于两者之间。客户给部分信息，比如一个低权限账号、或者API文档。这是我最喜欢的模式。有次测一个SaaS后台，客户给了普通用户账号，我登录后顺着功能点翻，发现修改用户ID的参数没做水平越权校验，直接越权到管理员。灰盒能兼顾效率和深度，但前提是客户愿意配合——很多甲方连测试账号都不肯给，怕你搞破坏。

按测试位置分，又分内部和外部。外部测试模拟互联网攻击者，目标通常是公网IP、域名、VPN入口。内部测试模拟已攻破边界的攻击者，或者内鬼。内部测试经常能发现更严重的问题，比如域内横向移动、数据库弱口令。我做过一个内部项目，客户内网里跑着未授权的Redis，直接写SSH公钥拿下一堆机器。外部测试反而干净得很。但内部测试有个坑：客户IT部门会盯着你，生怕你碰生产环境。有次我刚扫了一下内网段，运维电话就打过来了。

还有按目标类型分的：Web应用、移动App、API、网络设备、工控系统。Web和API最常见，工具也成熟。移动App要拆包、看加固、测证书绑定，麻烦但有意思。网络设备测试风险高，一不小心就把交换机搞重启。工控系统我碰得少，那玩意真出问题不是丢数据，是炸管道。

最后一种分法不太正经但很实用：合规驱动 vs 攻击驱动。合规驱动就是应付等保、PCI DSS，测试范围固定，报告模板化，挖到高危也不一定让你深挖。攻击驱动是客户真怕被黑，或者刚被黑过。这种项目预算足、授权宽，我甚至被允许用社工库查员工密码。两种没有优劣，但作为测试者，攻击驱动的项目更过瘾，也更容易发现真问题。

分类不是拿来背的。你面对一个目标，先问清楚：客户给什么信息、想防谁、能接受多大风险。这三个答案一出来，该用哪种模式自然就定了。