渗透测试是什么
渗透测试（Penetration Testing，常简称渗透或 PT）是由具备资质的安全人员，在委托方书面授权的前提下，模拟真实攻击者的思路与手法，对约定范围内的系统、应用与网络做受控的安全验证，用可复现的证据证明漏洞真实存在及其影响程度。它和漏洞扫描的区别在于：扫描器按规则库批量比对、输出疑似命中，误报与漏报都靠人工兜底；渗透测试由人理解业务上下文，会把若干低危问题串联成一条可用攻击路径，并给出可落地的修复建议。它和红队演练的区别在于：渗透测试以发现并推动修复为目的，范围、时间、动作都受限且过程可控；红队演练以检验检测与响应能力为目的，隐蔽性优先、周期更长、常含社工与绕过。
基本信息
| 别名 | 渗透测试 / 渗透 / PT / PenTest |
|---|---|
| 本质 | 授权范围内的受控安全验证活动 |
| 目的 | 发现问题、验证影响、推动修复 |
| 实施主体 | 具备资质的安全服务方，与委托方签署授权文件 |
| 参考标准 | GB/T 38638、PTES、OWASP 测试指南、等保测评要求 |
| 核心约束 | 授权 + 范围 + 时间窗 + 可回退 + 可复现 |
典型使用场景
- 上线前安全评估：新系统或大版本上线前，验证认证、越权、注入等高危风险是否已消除
- 合规要求：等保测评、行业监管或客户合同要求提供第三方渗透测试报告
- 重大变更后复测：架构迁移、第三方组件替换、权限模型调整后确认未引入新风险
- 外部暴露面收敛：对外网域名与公网 IP 做整体验证，找出真正可被利用的入口
- 安全责任界定：并购尽调、供应商准入时用测试结论作为客观依据
- 定向确认：对扫描器报出的疑似漏洞做人工复现，排除误报后再定级
评估工作流
评估工作流
授权确认 # 委托方签发授权书与 ROE，范围清单冻结
范围梳理 # 资产清单、环境（生产/测试）、账号与接口
计划评审 # 方案、时间窗、限速与应急流程经客户签字
测试执行 # 只做计划内动作，全程留痕并记录时间戳
问题确认与分级 # 复现步骤 + 影响评估 + 风险等级
报告交付 # 问题清单、修复建议、验证限制说明
修复复测 # 按编号逐条核对，输出复测结论与相关活动对比
| 活动 | 目的 | 典型特征 |
|---|---|---|
| 漏洞扫描 | 用工具批量发现已知类型问题 | 按规则库比对，误报率高，无人工串联 |
| 渗透测试 | 验证漏洞真实性与影响，给出修复建议 | 人工主导、范围受限、过程可控、可复现 |
| 红队演练 | 检验检测与响应能力 | 隐蔽对抗、周期长、可能包含社工与绕过 |
| 配置核查/审计 | 核对配置与流程是否符合基线 | 以访谈与配置读取为主，不做攻击验证 |
| 等保测评 | 满足监管合规要求 | 按标准项逐项测评计分，渗透测试可作其组成部分 |
边界与授权的关系
渗透测试的合法性不来自技术手段，而来自授权。同一组请求、同一个工具，在授权范围内是安全服务，在范围外就是未授权入侵。授权文件至少要覆盖四件事：谁授权、测什么、什么时候测、允许做什么；缺任何一项，现场判断就失去依据。范围内的动作也并非任意：不得破坏数据、不得影响业务连续性、不得访问与验证目标无关的信息，也不得把测试中获得的数据用于测试之外的用途。
一次标准交付物清单
- 授权与过程文件：授权书、ROE、测试方案、启动会纪要
- 资产与指纹清单：实测目标、服务与版本、归属核对结论
- 问题清单：编号、位置、复现步骤、证据、等级、修复建议
- 测试报告：范围与方法、结论摘要、风险分布、验证限制说明
- 复测结论：修复后逐条核对结果
- 数据处置记录：测试数据清理与销毁确认
把渗透测试当作受控的安全体检：结论用于修复，而不是用于展示攻击能力。报告里要写清验证到哪一步、哪些项目没测、为什么没测，这决定了报告的可信度与可复现性。
先开工具后补授权、把口头同意当授权、授权到期后继续测试，这三件事在实务中最常见，也最容易让服务变成事故。范围外发现的问题只能记录并上报，不能顺手深入。