Original source：# What is a Penetration Test, and Does Your Website Need One?
最近的一项盖洛普民意调查显示，近 40% 的美国人经常担心他们的个人信息被计算机黑客窃取。这也就不足为奇了：网络攻击和数据泄露经常成为新闻头条。犯罪分子入侵您的网站并窃取有关您和您的客户的敏感信息有多容易？渗透测试可以帮助您找出答案。
什么是渗透测试？
渗透测试（简称渗透测试）有时被称为道德黑客攻击或白帽黑客攻击。它可以帮助您在犯罪黑客获取敏感数据之前发现并修复网站和 Web 应用程序中的安全漏洞。
它是这样运作的：在您的许可下，网络安全专家会模拟您网站上的真实网络攻击。他们使用与坏人相同的工具和技术来查找您网站中的漏洞，并试图利用它们。
您的测试人员将与您分享他们的发现。您可以使用此信息来堵塞您网站中的任何安全漏洞。
谁执行渗透测试？
被称为渗透测试员的道德黑客执行渗透测试。一些渗透测试员接受过该主题的正式培训，而另一些则主要是自学成才的。无论哪种情况，他们都可能拥有证书来支持他们的技能。一些示例包括 EC-Council 的 Certified Ethical Hacker （CEH） 或 CompTIA 的 PenTest+。
渗透测试有哪些类型？
有几种不同类型的渗透测试。您可能想要使用的一些测试包括：
- 外部渗透测试。这些测试模拟来自企业外部的网络攻击。它们可帮助您查找可从公共 Internet 访问的安全漏洞。
- 内部渗透测试。这些测试模拟来自您企业内部的攻击。它们可帮助你了解员工或其他内部人员可能利用的弱点。
- 盲笔测试。也称为闭箱渗透测试，您的道德黑客仅从您公司的名称开始。这种测试可以帮助您了解黑客了解您的系统有多容易。
- 双盲渗透测试。这些测试也称为隐蔽渗透测试，是 IT 人员的真实演练。他们可以帮助您衡量您的团队处理真实黑客攻击企图的能力。
需要注意的常见网站漏洞有哪些？
道德黑客在执行渗透测试时可能会寻找多种类型的安全漏洞。为了让您了解他们可能会测试什么，根据开放 Web 应用程序安全项目，以下是五个最常见的 Web 应用程序漏洞：
- 访问控制损坏。这意味着用户拥有他们不应该拥有的权限。例如，只应向授权员工显示的信息可供任何人使用。
- 加密故障。这意味着您的敏感数据没有得到妥善存储和传输。密码、信用卡号和个人信息可能会暴露。
- 注射。注入是一种漏洞，可让攻击者“注入”恶意代码。他们可以使用它来访问敏感数据。
- 不安全的设计。您网站中的设计缺陷可能会使您的企业容易受到攻击。这可能包括尚未针对已知黑客方法进行测试的代码。
- 安全配置错误。商业软件可能是高度可配置的。但是，某些自定义设置（例如启用不必要的功能或关闭安全功能）可能会让攻击者入侵您的网站。
您的网站有多脆弱？
许多网站容易受到黑客的攻击。在 Drupal 或 WordPress 等内容管理系统平台上运行的网站往往更频繁地成为目标。部分原因是它们非常普遍，但也因为它们的代码是可公开访问的。如果您使用第三方插件或主题自定义您的网站，其中一些附加组件可能存在安全漏洞。
我的网站需要渗透测试吗？
了解渗透测试后，您可能想知道：我的企业需要渗透测试吗？在某些情况下，为了遵守隐私法律和法规，渗透测试可能是强制性的。但是，即使渗透测试不是您企业的法律要求，您也可以选择这样做来帮助保护客户的私人信息。
通过渗透测试保护您的企业
是时候发现公司网站中的潜在弱点了。我们让一切变得简单 — 立即寻找完美的渗透测试仪。
