渗透测试的基本流程主要分为以下几步：
1. 明确目标
2. 信息收集
3. 漏洞探测（挖掘）
4. 漏洞验证（利用）
5. 提升权限
6. 清除痕迹
7. 事后信息分析
8. 编写渗透测试报告
1.1 明确目标
主要是确定需要渗透资产范围； 确定规则，如怎么去渗透； 确定需求，如客户需要达到一个什么样的效果。
1.2 信息收集
信息收集阶段主要是收集一些基础信息，系统信息，应用信息，版本信息，服务信息，人员信息以及相关防护信息。
信息收集大多是工具加手工进行收集信息，工具如nmap，相关终端命令，浏览器插件，在线工具等。
1.3 漏洞探测（挖掘）
主要是探测（挖掘）系统漏洞，web服务器漏洞，web应用漏洞以及其他端口服务漏洞，如telnet，ssh，vnc，远程桌面连接服务（3389）等。
1.4 漏洞验证（利用）
漏洞验证主要是利用探测到的漏洞进行攻击，方法主要有自动化验证（msf），手工验证，业务漏洞验证，公开资源的验证等。
总的来说就是工具加手工，为了方便，可以将自己渗透常使用的工具进行封装为工具包。
1.5 提升权限
提升权限主要是在当前用户权限不是管理员的时候需要进行提升权限，提升权限可以是提升系统权限，web应用权限或是数据库权限等。
1.6 清除痕迹
清楚痕迹主要是清除渗透过程中操作的一些痕迹，如添加的测试账号，上传的测试文件等。
1.7 事后信息分析
主要是对整个渗透过程进行信息分析与整理，分析脆弱环节，技术防护情况以及管理方面的情况进行一个现状分析以及提出相关建议。
1.8 编写渗透测试报告
根据渗透测试具体情况编写渗透测试报告，渗透测试报告必须简洁明了，说清楚渗透清单（范围），攻击路径，渗透成果，以及详细的漏洞详情（相关描述、漏洞危害等）及可行的修复建议，最后对整改渗透情况进行简单的总结和分析，说清楚目前资产的一个状况是什么样的，应该从哪些方面进行加强和提升。另外根据渗透测试报告可让第三方相对容易复现成功！
2 渗透测试相关原则
1.最小影响原则
2.非破坏性原则
3.全面深入原则
4.保密性原则
非原创
标签：测试报告,验证,渗透,流程,信息,漏洞,测试,权限 来源： https://www.cnblogs.com/manmanwei/p/16659837.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。