渗透测试是通过模拟攻击评估系统安全性的方法。本文涵盖渗透测试标准流程、常用工具（如 Nmap、Burp Suite）、接口与前后端测试方法，以及 SQL 注入、XSS、CSRF、SSRF 等常见漏洞的原理、实例与修复方案。内容包含代码示例、防御最佳实践及伦理规范，旨在帮助技术人员理解安全测试核心概念及应对面试常见问题。
渗透测试（Penetration Testing）是一种评估计算机系统、网络或应用程序安全性的方法。它通过模拟真实世界的攻击行为，主动探测系统中的弱点、漏洞和配置错误，旨在发现潜在的安全风险并提供修复建议。
渗透测试通常涵盖以下方面：
其核心价值在于帮助组织在恶意攻击者利用漏洞之前，主动识别并修复安全隐患，降低业务风险。
标准的渗透测试流程通常包含以下几个阶段：
在开始测试前，需全面了解目标系统。包括 IP 地址、域名、子域名、网络拓扑结构、操作系统类型、运行服务及应用程序架构等。此阶段主要依赖公开信息源（OSINT）和被动扫描。
基于收集的情报进行威胁模拟，挖掘潜在漏洞。使用自动化工具（如 Nessus、OpenVAS、Burp Suite）对已知漏洞进行扫描，同时结合手动分析识别逻辑缺陷。
尝试利用发现的漏洞获取系统权限。例如使用 Metasploit 框架执行漏洞利用脚本，进行提权、横向移动或数据窃取。此阶段需谨慎操作，避免对生产环境造成破坏。
一旦获得访问权限，需深入调查目标环境，查看系统配置、文件系统及应用日志，寻找更多机会。最后，编写详细的测试报告，列出漏洞详情、风险等级、复现步骤及修复建议。
Nmap 是信息收集阶段的核心工具，基本用法如下：
192.168.1.1 或 www.example.com。nmap [目标] 获取开放端口列表。-sS：TCP SYN 扫描（半开扫描），速度快且隐蔽。-sU：UDP 扫描，用于检测 UDP 服务。-p [端口]：指定特定端口范围。-A：启用操作系统检测、版本探测、脚本扫描及 traceroute。-O：仅开启操作系统检测。API 测试重点在于验证接口的功能完整性与安全性：
前端安全主要关注客户端交互与代码逻辑：
后端测试涉及服务器、数据库及业务逻辑：
SQL 注入是利用后端代码拼接 SQL 语句的缺陷进行的攻击：
sleep() 函数，根据响应时间差异推断数据。防御措施：严格使用预编译语句（Prepared Statements）、最小权限原则、输入过滤及 WAF 防护。
假设存在以下 PHP 登录代码：
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($conn, $sql);
if (mysqli_num_rows($result) > 0) {
// 登录成功
} else {
// 登录失败
}
该代码直接将用户输入拼接到 SQL 语句中，存在严重注入风险。攻击者可输入用户名 ' OR '1'='1，使 SQL 变为：
SELECT * FROM users WHERE username='' OR '1'='1' AND password='' OR '1'='1'
由于 '1'='1' 恒成立，查询将返回所有用户记录，导致无需密码即可登录。
修复方案：使用预处理语句（Prepared Statements）。
$stmt = $conn->prepare("SELECT * FROM users WHERE username=? AND password=?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();
| 漏洞类型 | 全称 | 原理 | 修复方式 |
|---|---|---|---|
| CSRF | Cross-Site Request Forgery | 诱导用户在已登录状态下执行非意愿操作 | 添加 CSRF Token、校验 Referer 头、SameSite Cookie 属性 |
| XSS | Cross-Site Scripting | 注入恶意脚本在受害者浏览器执行 | 输入过滤、输出编码、Content Security Policy (CSP) |
| XXE | XML External Entity | 解析 XML 时加载外部实体读取本地文件或发起 SSRF | 禁用外部实体解析、使用安全解析器、白名单过滤 |
修复建议：
在进行渗透测试时，必须遵守法律法规及职业道德：
渗透测试是保障网络安全的重要手段。技术人员应熟练掌握各类漏洞原理、检测工具及修复方案，同时保持高度的法律意识。随着云原生、微服务架构的普及，新的攻击面不断涌现，持续学习新技术与新威胁模型是安全从业者的必备素质。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
查找任何按下的键的javascript键代码、代码、位置和修饰符。 在线工具，Keycode 信息在线工具，online
JavaScript 字符串转义/反转义；Java 风格 \uXXXX（Native2Ascii）编码与解码。 在线工具，Escape 与 Native 编解码在线工具，online
使用 Prettier 在浏览器内格式化 JavaScript 或 HTML 片段。 在线工具，JavaScript / HTML 格式化在线工具，online
Terser 压缩、变量名混淆，或 javascript-obfuscator 高强度混淆（体积会增大）。 在线工具，JavaScript 压缩与混淆在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online