一、基礎

1、基本要素：
保密性：不能非授權訪問，通過訪問控制與數據加密來保障保密性；
完整性：只有授權的人才能修改，通過訪問控制來阻止數據篡改，通過算法進行信息驗證；
可用性：是網絡總體可靠性的需求，通過訪問控制來阻止非授權人員的訪問；
可控性：使用授權機制，控制信息傳播范圍、內容、必要時能恢復密鑰；
不可否認性：是對出現的安全問題提供調查的依據和手段，一般通過數字簽名來實現；
2、網絡脆弱性原因：
開放的網絡環境、協議的脆弱性、操作系統的漏洞、人為因素
3、網絡安全涉及方面：
物理安全、網絡安全、系統安全、應用安全、管理安全

二、滲透測試、

1、模擬黑客進行攻擊，評估計算機網絡系統安全的一種方法
2、滲透特點：
漸進的并且逐漸深入的過程；
是不影響業務正常運行的攻擊方式進行測試；
3、執行標準：
前期交互：明確目標。范圍，限制條件以及合同；
情報收集：嘗試獲取目標的網絡拓撲，系統配置與安全防御措施的信息；
威脅建模階段：進行攻擊規劃和威脅建模；
漏洞分析階段：確定最可行的攻擊通道，考慮如何取得目標系統的訪問控制權；
滲透攻擊階段：利用找出的系統安全漏洞，來真正入侵系統，獲取訪問權；
后滲透攻擊階段
撰寫報告階段
4、 實際中的測試流程：
明確目標、信息收集、漏洞發現、漏洞利用、后滲透、報告撰寫

5、 風險規避
不用進行像ddos攻擊，不破壞數據；
測試之前進行數據的備份；
任何測試前要與客戶進行溝通；
可以對原始系統生成鏡像環境，然后對鏡像進行測試；
明確測試范圍；

三、滲透術語

白帽子：通過技術手段識別計算機系統或網絡系統的安全漏洞，提交給廠商并提出恢復方法；
黑帽子：簡稱黑客，謀取利益行走在法律邊緣；
灰帽子：介于白和黑之間；
肉雞：傀儡機，可被任意控制的計算機或服務器；
木馬：可以獲取權限的程序或代碼段；
后門：為了方便二次進入留下的非常隱蔽的后門程序；
shell：命令執行環境，通常的拿shell，就是拿到對方的命令執行環境；
webshell：通過web進行入侵的腳本工具，可以對網站服務進行一定的控制；
POC：驗證漏洞存在的代碼或程序；
EXP：漏洞利用的代碼或程序；
Payload：有效攻擊載荷；
WAF：WEB應用防御系統；
提權：利用一切手段拿到最高權限（管理員權限）；
APT：高級可持續性的攻擊【是組織或團體利用先進的手段對特定的目標進行長期的網絡攻擊（有極強的隱蔽性、潛伏期長、持續性長、目標性強）】
CMS：內容管理系統；
黑盒測試：對內部情況一無所知的情況下進行滲透測試或其他測試；
白盒測試：了解內部結構等信息情況下進行下測試；
灰盒測試：介于黑白之間；
0day：是指負責應用程序的程序員或提供商所未知的缺陷；因為未知，所以沒有補丁；
1day：剛發布但還是存在大量的漏洞；
nday：已進公布出來的0day；
proxy：代理；接受來自客戶機的流量并代表客戶端與服務器進行交互；
加殼/脫殼：專門負責保護軟件不被非法修改或反編譯的程序；
shellcode：利用軟件漏洞而執行的代碼；十六進制；
釣鯨攻擊：是一種進化形式的魚叉式網絡釣魚，是指針對高級管理人員和組織內部其他高級人員的網絡釣魚攻擊，通過電子郵件內容進行攻擊；
水坑攻擊：在目標的上網活動路徑上設置陷阱，分析經常訪問的網站的弱點，從此網站入手進行攻擊，一旦目標訪問該網站就會中招；
橫向攻擊：先通過縱向攻擊獲取服務器權限，然后以該服務器未跳板，進行橫向攻擊；
電信詐騙
殺豬盤：指放長線釣大魚，放的時間越久，詐騙的越狠；
脫庫：將數據庫的數據導出；
社工庫：將用戶的數據整合起來，并用來查詢或者社工的手段的工具；
撞庫攻擊：獲取到用戶的某一密碼，取嘗試登錄其他站點；
旁站：同一服務器上存在其他的站點；
蜜罐：用來誘導黑客進行攻擊，以此來判斷黑客行為，甚至反擊；
掛馬：在別人的網頁里放入木馬或將木馬潛入到對方的正常網頁中，使得瀏覽者中馬；
網絡釣魚：用偽造的網頁或電子郵件來進行詐騙活動；
cc攻擊：借助代理服務器生成向受害者主機的合法請求，cc主要攻擊頁面的；
dos攻擊：拒絕服務攻擊。攻擊者通過利用漏洞或發送大量的請求導致攻擊對象無法訪問；
DDos攻擊:分布式DOS攻擊，常見的UDP、SYN、反射放大攻擊等等，就是通過許多臺肉雞一起向你發送一些網絡請求信息，導致你的網絡堵塞而不能正常上網。
c2：命令與控制，常見與APT攻擊場景中；
魚叉攻擊：具有針對性，具有更高成功的可能性；
黑產：非法行動；
紅隊：攻防演習的攻擊方；
藍隊：防守方；
紫隊；裁判；
IDS：入侵檢測系統，用于在黑客發起進攻或進攻之前檢測攻擊，并加以攔截；不同于防火墻，防火墻只是屏蔽入侵，而IDS可以在入侵發生之前檢測到即將到來的攻擊或入侵并做出反應；
IPS：入侵防御系統；
堡壘機：運用各種技術進行監控和記錄運維人員對網絡內部的服務器網絡設備、安全設備、數據庫等的操作行為以便于集中報警，即使處理及審計定責；
VPN:虛擬專用網，在公用網絡上建立專用網絡，進行加密通訊，通過對數據包的加密和數據包目標地址的轉換實現遠程訪問。。
科學上網: 訪問國外外網，實際上是一種不合法的行為。
CTF(奪旗賽):CTF (CaptureThe Flag)中文一般譯作奪旗賽，在網絡安全領域中指的是網絡安全技術人員之間進行技術競技的一種比賽形式。
awd攻防對抗賽: AWD(AttackWithDefense，攻防兼備)模式是一個非常有意思的模式，你需要在一場比賽里要扮演攻擊方和防守方，攻者得分，失守者會被扣分。也就是說，攻擊別人的靶機可以獲取Flag分數時，別人會被扣分，同時你也要保護自己的主機不被別人得分，以防扣分。

總結

以上是生活随笔為你收集整理的网络安全渗透基础的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。