[图文]网络渗透测试无法告诉你的东西

作者：Ink 文章来源：网络采集点击数：更新时间：2008-5-10

在安全管理领域，最神秘的事情之一就是入侵者的行为方式。入侵者会做什么事情？以及他们是如何来做的？同所有重大的秘密一样，它也让许多人产生了浓厚的兴趣，同时也解释了关于实际网络攻击的书籍和教程大受欢迎的原因。如果你不具备所有正当访问权限的话，抛开违反法律不谈，对网络进行攻击可能令人乐趣无穷并且增长见识，然而事实却是，我们当中的绝大多数人并不需要知道如何去进行攻击。坦率地说，成为一名优秀的渗透测试人员仅仅需要参加一个多星期的课堂教育。而此外还需要信守承诺、奉献精神、直觉及对技术的良好悟性，不用说，还有对做事情的规则及正当方法的公然漠视。在许多情况下，这些技术并非绝大多数安全管理员能够具备，或者说必需的。在绝大多数时候，雇佣一些这样的人来实施网络渗透测试，这样做成本低廉并且能够达到更好的效果。职业渗透测试人员发现问题的能力将会高人一筹，同样还能清晰地找出导致这些问题的根源。那么，为什么那些讲述网络攻击的书籍或课程如此受到欢迎呢？嗯，坦率地说，这主要归咎于网络攻击的神秘性和其认知难度。同样地，如果一名系统管理员有能力实施基本渗透测试的话，那么他的价值将会得到提升。然而，本章的侧重点稍有不同。对于具体网络攻击如何发生的细节，我们的叙述也许并非一清二楚，但首先我们需要对导致问题的那些操作实践有相当清醒的认识。这是经过深思熟虑的做法。其中至关重要的部分并不是展示如何来对某些东西实施攻击，而是展示入侵者如何利用你犯下的错误。这使得你可以通过避免犯这些可能被入侵者所利用的错误，来保护你的网络。

       然而，在开始本章之前，让我们先清晰地说明一点：我们既不会宽恕也不会帮助、维护那些对网络或系统进行攻击的人，如果这些系统并不为他们所有或他们并未被许可对其进行攻击。

       警告：对不属于你的网络或系统实施攻击的行为是不合法的和不道德的，并且与信息安全专业人员的道德准则相悖。

      另外，本章还示范了一系列不同工具的使用。尽管这些工具中的部分可以在Internet上自由下载，但其中绝大部分工具的编写目的都是用于合法的网络渗透测试。不管怎样，我们仍然应当遵守上面的原则。

     注意：不要浪费精力在本书配套光盘上寻找本章中用到的那些工具软件了。它们并未被收录其中。

     本书的目的是让网络变得更加安全，并非提供某些工具来对网络进行破坏。特定的信息系统安全专业人员，也就是那些负责网络渗透测试的人，拥有合法利用这些工具的权利。通常说来，系统管理员，并不需要这些工具中的大多数，因为它们的用途仅限于对网络进行入侵。因为所有有能力胜任的渗透测试人员（或者系统管理员）当需要这些类型工具的时候都能够自己编写出来，所以我们在此更没有必要班门弄斧地提供这些工具了。

      需要注意的是：我们所展示的实例以及用来示范攻击方法的网络都是完全虚构出来的。这一网络是为了示范攻击的目的而特地构建的。如果与某个真实的办公网络存在有任何相似之处，那么这完全是无意识的巧合。

      网络渗透测试无法告诉你的东西

      我们当中的一些人已经作为测试人员或用户参与到渗透测试中了，或者至少曾经与那些为我们提供渗透测试服务的安全顾问们进行过联系。渗透测试听起来像是一种测试，以检查你是否可以渗透进入某个网络。如果实施恰当，渗透测试将会价值非凡；但即使是实施不正确的渗透测试

[1] [2] [3] 下一页

文章录入：Ink 责任编辑：Ink

上一篇文章：对一个怪网站的渗透记

下一篇文章：内网渗透如何打开突破口

【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】