安全渗透测试笔记——安全漏洞生命周期

1.6 漏洞分析与利用

在渗透测试过程中作为一个主要任务就是识别出目标系统的潜在安全缺陷随后通过执行渗透攻击手段深入进入目标系统的内部结构以完成探测的目标这一过程的基础性要求在于保障其有效性最根本的前提条件就是依赖于目标系统所存在的各类安全缺陷（Vulnerability）

1.6.1 安全漏洞生命周期

安全漏洞是指信息系统中存在的错误配置或不当设置，这些因素可能导致攻击者能够在未经授权的情况下访问或破坏系统，并给信息系统带来安全隐患 。通过利用这些漏洞进行入侵和破坏效果的行为被统称为渗透代码（Exploit），即通过漏洞利用来执行侵入性操作的行为。

针对安全漏洞生命周期展开的攻防技术始终是安全领域关注的重点，并且一个典型的漏洞管理周期通常包含七个关键环节。

一、 安全漏洞研究与挖掘

由经验丰富的黑客及专业的渗透测试师主导开展项目工作，在项目过程中主要依赖上述多种安全审查技术手段（包括白盒测试、灰盒测试以及漏洞探测等）来发现并利用存在的安全漏洞。

二、渗透代码开发与测试

与此同时，在发现安全漏洞的同时，黑客也会开发功能性渗透攻击代码（POC），用以检验这些漏洞是否存在，并确定它们是否具备利用性。

三、安全漏洞和渗透代码在封闭团队中流传

在发现安全漏洞并提供相应的渗透攻击代码后

**四、安全漏洞和渗透代码开始