滲誘測試是模擬黑客攻擊站在第三方的角度上來測試系統(tǒng)的安全性，通過滲誘測試發(fā)掘企業(yè)系統(tǒng)潛在的安全漏洞。通過對網(wǎng)站及APP應用等，進行非破壞性質(zhì)的入侵攻擊，獲取系統(tǒng)權限，并將入侵過程和漏洞細節(jié)編寫成測試報告，及時提醒企業(yè)客戶完善安全策略，降低安全運營風險能力。
目前滲透測試主要分為以下三類：

黑盒測試
黑盒測試(Black-box Testing)也稱為外部測試(External Testing)采用這種方式時，滲透測試團隊將從一個遠程網(wǎng)絡位置來評估目標網(wǎng)絡基礎設施，并沒有任何目標網(wǎng)絡內(nèi)部拓撲等相關信息，他們完全模擬真實網(wǎng)絡環(huán)境中的外部攻擊者，采用流行的攻擊技術與工具，有組織有步驟地對目標組織進行逐步的滲誘和入侵，揭示目標網(wǎng)絡中一些已知或未知的安全漏洞，并評估這些漏洞能否被利用獲取控制權或者操作業(yè)務資產(chǎn)損失等。
黑盒安全測試局限性:
1漏洞誤報率極高。web2.0時代后，傳統(tǒng)掃描器的怕丑引擎無法覆蓋絕大部分的業(yè)務邏輯漏洞，勢必造成大量漏報
2.性能及效率低下。對于同一個漏洞類型的不同漏洞場景，需要多一條驗證策略，長期積累產(chǎn)生大量幾余，測試時間不短增加，造成掃描器性能和效率低下
3.漏洞誤報率極高。由于網(wǎng)絡環(huán)境、掃描器性能和策略缺陷等不可控因素的影響，會造成大量的漏洞誤報.

白盒測試：
白盒測試歸納總結來說是源代碼測試。白盒測試(White-box Testing)也稱為內(nèi)部測試nternal Testing) 。進行白盒測試的團隊將可以了解到關于目標環(huán)境的所有內(nèi)部和底層知識，因此這可以讓滲誘測試人員以最小的代價發(fā)現(xiàn)和驗證系統(tǒng)中最嚴重的漏洞。白盒測試的實施流程與黑盒測試類似，不同之處在于無須進行目標定位和情報收集，滲透測試人員可以通過正常渠道向被測試單位取得各種資料，包括網(wǎng)絡拓撲、員工資料甚至網(wǎng)站程序的代碼片段，也可以和單位其他員工進行面對面溝通。
白盒測試的漏洞誤報率也比較大，而且在測試時需要將源代碼放在工具上，漏洞檢測率大概在50%左右，其他也需要人工進行確認。
白盒安全測試局限性 (以常見代碼審計工具為例)
1.檢測效率低下。對于大型的web應用可能是幾十或者上百萬性的代碼，無論是審計工具的運行效率還是漏洞的驗證效率都是低下的.
2.代碼場景看蓋難。對于日益復雜的代碼實現(xiàn)場景和大量的開源項目，特別是封裝包代碼，策略難以覆蓋到大量漏洞場景
3.漏洞準確性低。由于純粹的白盒無法運行代碼，僅靠策略去確定一個漏洞是不準確的，故產(chǎn)生了大量幾余的工作，也降低了效率。

灰盒測試：
灰盒測試(Grey-box Testing)是白盒測試和黑盒測試基本類型的組合，它可以提供對目標系統(tǒng)更加深入和全面的安全審查。組合之后的好處就是能夠同時發(fā)揮兩種滲透測試方法的各自優(yōu)勢。在采用灰盒測試方法的外部滲透攻擊場景中，滲透測試者也類似地需要從外部逐步滲透進目標網(wǎng)絡，但他所擁有的目標網(wǎng)絡底層拓撲與架構將有助于更好地決策攻擊途徑與方法，從而達到更好的滲誘測試效果.
2012年atner提出一種新型運行時應用安全測試方案: AST交與式應用程序安全測試，懸鏡安全也看到了目前這人市場的空白，推出了縣靈脈A1AST滲誘測過系統(tǒng)，在大量的場下進行過測試，目前已經(jīng)為金融、教育、政府、能源等行業(yè)客戶提供WEB灰盒安全測試?；液邪踩珳y試規(guī)避了黑盒掃描和白盒代碼審計技術的主要技術缺。灰盒交與式安全測試表現(xiàn)出檢測效率高、業(yè)務邏輯覆蓋高、漏洞準確性極高以及規(guī)范代碼安全等特點?；液邪踩珳y試是站在黑盒與白盒安全測試的平衡位置，把測試放在應用功能的業(yè)務邏輯層面上，基本可以看蓋所有的應用業(yè)務邏輯，檢測結果準確性也極高?；液袦y試工具實現(xiàn)了讓測試效率更高，符合復雜應用的安全測試需求，更重要的是它規(guī)范了代碼安全，從漏洞根源上糾正程序員的代碼錯誤，形成一條安全編碼基線，目前懸鏡靈脈已支持優(yōu)劣代碼示例，可以幫助開發(fā)人員更好的規(guī)避代碼不規(guī)范的問題。
受限于漏洞知識庫和掃描原理，傳統(tǒng)漏洞掃描系統(tǒng)無法挖掘業(yè)務邏輯漏洞，但懸鏡靈脈AL-AST滲透測試系統(tǒng)已支持不限于:身份認證安全、驗證碼限制被繞過、業(yè)務一致性安全、業(yè)務數(shù)據(jù)算改、認證權限找回邏輯、業(yè)務授權(水平/直越權)安全、業(yè)務流程刮,序、業(yè)務接口調(diào)用安全等。
很多朋友在調(diào)研灰盒安全測試工具時，都會問我，我們主要從哪些方面評估一個工具的好壞呢。管理者在使用安全評估工具時，目前市面上琳滿目的商業(yè)化掃描檢測工具，實在難以入手，作為專業(yè)的軟件供應安全解決方案廠商，我們建議從以下維度來綜合評估滲透測試工具的能力。

第一、安全賦能的能力
評價一款好的產(chǎn)品，不僅僅是從功能上，更重要是是團隊成員的使用及成長?？焖俚膸椭髽I(yè)建立內(nèi)部的眾測模式，且不增加研發(fā)、測試、運營及安全部門的工作量，不變更原有的工作方式，零門檻透明化的實現(xiàn)全員參與安全眾測，防上應用帶病上線。
第二、多種檢測模型
內(nèi)置 A 啟發(fā)滲透、網(wǎng)站嗅探掃描、供應鏈威脅審查三種檢測引警。采用爬蟲 2.0 信息抓取技術，同步頁面的抓取能力和強大的規(guī)則更新能力保證了網(wǎng)站嗅探掃描的出色表現(xiàn)。在此基礎上，靈脈擁有業(yè)界領先的 A 啟發(fā)滲透，將人工漏洞檢測思路轉(zhuǎn)化為機器語言，通過機器學習、模型訓練深度挖掘客戶業(yè)務場景，系統(tǒng)具備全面自適應能力，完美解決傳統(tǒng)漏掃工具無法具備的業(yè)務邏輯檢測能力。供應鏈威脅審查引擎可全自動、高性能、智能化分析應用中是否包含木馬后門等威脅，方便用戶第一時間發(fā)現(xiàn)并解決問題，避免部署及應用安裝環(huán)節(jié)帶“毒”上線。
第三、漏洞閉環(huán)能力
漏洞及項目管理平臺，動態(tài)跟蹤整個開發(fā)運營過程中的漏洞爆發(fā)及修復情況，智能分析各開發(fā)部門漏洞收斂進度，實現(xiàn)漏洞從發(fā)現(xiàn)、確認、修復、復查等關鍵生命周期的全流程閉環(huán)管理。
第四、各種自定義
客戶使用一款產(chǎn)品時，不單單是使用功能這么簡單了，客戶的需求也在慢慢的提升。比如能不能自定義漏洞規(guī)則檢測，能不能自定義漏洞檢測，可不可以設置自定義負載控制等。
目前懸鏡靈脈ALAST滲透測試平已經(jīng)支持高度自定義漏洞檢測規(guī)則，形成適配甲方自身業(yè)務場景的特有檢能力。且用戶可以根據(jù)自身需求，針對制定類型的安全漏洞進行針對性掃描，有效應對突發(fā)漏河和上級監(jiān)管機構的緊急排查需求。我們懸鏡靈脈A-IAST滲活測試平臺已分許用戶結合白身網(wǎng)站業(yè)條情況自定義檢測負載，確保整人檢測路程不會因為掃描大快影響業(yè)務導致系統(tǒng)癱癌，也不會因為負載并發(fā)大小影響掃描效率。
第五、多業(yè)務平臺支持
傳統(tǒng)漏掃產(chǎn)品僅支持單一平臺漏掃，靈脈在網(wǎng)站漏河檢測功能的基礎上，還創(chuàng)新實現(xiàn)了對移動 App、小程序、微信公眾號等多平臺綜合檢測，使客戶能夠一站式系統(tǒng)地對各平臺應用做出綜合的分析評估。
自動化的工具會大大降低企業(yè)人員的運營和維護成本，提高企業(yè)的生產(chǎn)效率，在選擇合適的灰盒安全測試工具，對于企業(yè)安全部門會起到事半功倍的效果。