渗透测试方法及装置制造方法及图纸

本申请实施例提供一种渗透测试方法及装置，测试终端生成攻击链，该攻击链包括一个以上待使用攻击面，该待使用攻击面包括一个以上可用攻击插件；加载攻击链中的可用攻击插件；按照攻击链中的各待使用攻击面的优先级，依次运行各待使用攻击面中的可用攻击插件，直至达到用户指定的渗透目标；对得到的渗透测试结果进行展示。通过上述设计，可以实现自动化渗透测试，缩短渗透测试所需的时间和人力成本。

Permeation test method and device

The embodiment of this application provides a penetration test method and device, which generates an attack chain by testing the terminal. The attack chain includes more than one attack surface to be used, which includes more than one attack plug-in to be used, loads the available attack plug-in to be used in the attack chain, and runs the available attack in turn according to the priority of each attack surface to be used in the attack chain. Click on the plug-in until the penetration target specified by the user is reached; display the results of the penetration test. Through the above design, automatic penetration test can be realized, and the time and manpower cost needed for penetration test can be shortened.

【技术实现步骤摘要】
渗透测试方法及装置
本申请涉及网络安全
，具体而言，涉及一种渗透测试方法及装置。
技术介绍
随着互联网技术的发展，网络的应用越来越广泛，网络完全越来越重要。目前，保障网络安全较好的方法是渗透测试，即让专业的网络安全人员做安全测试评估。但是，相关技术中，渗透测试过程不连续，在完成一个攻击点后的测试后需要人工验证是否成功，若成功才能进行更深入的攻击层面进行验证，若不成功则需要返回来考虑采用其他方法进行渗透测试，在此过程中往往会耗费很多时间，并且可能打断渗透人员的思路。由此可见，相关技术中渗透测试，其实现步骤过于零碎且耗费人力成本过高。
技术实现思路
有鉴于此，本申请的目的之一在于提供一种渗透方法及装置，以将渗透过程中的各个环节串联起来，实现自动化的渗透测试。为了达到上述目的，本申请实施例采用如下技术方案：第一方面，本申请实施例提供一种渗透测试方法，应用于测试终端，所述方法包括：生成攻击链，所述攻击链包括一个以上待使用攻击面，所述待使用攻击面包括一个以上可用攻击插件；加载所述可用攻击插件；按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标；对得到的渗透测试结果进行展示。可选地，在上述渗透测试方法中，按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标，包括：针对所述攻击链中的任一待使用攻击面，并行地运行该待使用攻击面中的各可用攻击插件，并将各可用攻击插件的运行结果添加到该待使用攻击面的运行结果集合中；若该待使用攻击面与目标攻击面一致，且该待使用攻击面的运行结果集合中包括运行成功的结果，则确定达到用户指定的渗透目标；其中，所述目标攻击面为用户指定的攻击面。可选地，在上述渗透测试方法中，按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标，还包括：若该待使用攻击面与目标攻击面不一致，且该待使用攻击面的运行结果集合中包括运行成功的结果，则将该待使用攻击面的运行结果集合作为下一优先级的待使用攻击面的输入，并运行该下一优先级的待使用攻击面中的各可用攻击插件。可选地，在上述渗透测试方法中，将该待使用攻击面的运行结果集合作为下一优先级的待使用攻击面的输入，并运行该下一优先级的待使用攻击面中的各可用攻击插件，包括：针对所述下一优先级的待使用攻击面中的每一可用攻击插件，该可用攻击插件从输入的所述运行结果集合中查找运行所需的参数；若未查找到，则返回运行失败的结果。可选地，在上述渗透测试方法中，生成攻击链，包括：获取待测试的目标渗透范围；根据各攻击面的配置文件选取属于所述目标渗透范围的攻击面作为所述待使用攻击面；根据各攻击插件的配置文件选取与所述待使用攻击面对应的攻击插件作为所述可用攻击插件；将属于同一所述待使用攻击面的所述可用攻击插件划分至一个节点，得到一个以上节点，并将所述一个以上节点链接成所述攻击链。第二方面，本申请实施例还提供一种渗透测试装置，应用于测试终端，所述装置包括：攻击链整合模块，用于生成攻击链，所述攻击链包括一个以上待使用攻击面，所述待使用攻击面包括一个以上可用攻击插件；加载模块，用于加载所述可用攻击插件；渗透测试模块，用于按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标；展示模块，用于对得到的渗透测试结果进行展示。可选地，在上述装置中，所述渗透测试模块包括：第一测试子模块，用于针对所述攻击链中的任一待使用攻击面，并行地运行该待使用攻击面中的各可用攻击插件，并将各可用攻击插件的运行结果添加到该待使用攻击面的运行结果集合中；若该待使用攻击面与目标攻击面一致，且该待使用攻击面的运行结果集合中包括运行成功的结果，则确定达到用户指定的渗透目标；其中，所述目标攻击面为用户指定的攻击面。可选地，在上述装置中，所述渗透测试模块还包括：第二测试子模块，用于当所述第一测试子模块测试的待使用攻击面与目标攻击面不一致，且该待使用攻击面的运行结果集合中包括运行成功的结果时，将该待使用攻击面的运行结果集合作为下一优先级的待使用攻击面的输入，并运行该下一优先级的待使用攻击面中的各可用攻击插件。可选地，在上述装置中，所述第二测试子模块，具体用于：针对所述下一优先级的待使用攻击面中的每一可用攻击插件，该可用攻击插件从输入的所述运行结果集合中查找运行所需的参数；若未查找到，则返回运行失败的结果。可选地，在上述装置中，所述攻击链整合模块，包括：获取子模块，用于获取待测试的目标渗透范围；攻击面筛选子模块，用于根据各攻击面的配置文件选取属于所述目标渗透范围的攻击面作为所述待使用攻击面；攻击插件筛选子模块，用于根据各攻击插件的述配置文件选取与所述待使用攻击面对应的攻击插件作为所述可用攻击插件；链接子模块，用于将属于同一所述待使用攻击面的所述可用攻击插件划分至一个节点，得到一个以上节点，并将所述一个以上节点链接成所述攻击链。第三方面，本申请实施例还提供一种测试终端，该测试终端包括处理器及机器可读存储介质，该机器可读存储介质上存储有机器可执行指令，该机器可执行指令被执行时促使所述处理器实现本申请实施例第一方面提供的方法。相对于现有技术而言，本申请实施例具有以下有益效果：本申请实施例提供的一种渗透测试方法及装置，测试终端生成攻击链，该攻击链包括一个以上待使用攻击面，待使用攻击面包括一个以上可用攻击插件；加载可用攻击插件；按照攻击链中的各待使用攻击面的优先级，依次运行各待使用攻击面中的可用攻击插件，直至达到用户指定的渗透目标；对得到的渗透测试结果进行展示。通过上述设计，可以实现自动化渗透测试，缩短渗透测试所需的时间和人力成本。附图说明为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。图1为本申请实施例提供的一种测试终端的方框示意图；图2为本申请实施例提供的一种渗透测试方法的流程示意图；图3为图2所示的步骤S21的子步骤示意图；图4为图2所示的步骤S23的子步骤示意图；图5为本申请实施例提供的一种渗透测试装置的功能模块框图；图6为图5所示的攻击链整合模块的子模块示意图；图7为图5所示的渗透测试模块的子模块示意图。图标：100-测试终端；110-处理器；120-机器可读存储介质；130-系统总线；140-通信单元；150-显示单元；200-渗透测试装置；210-攻击链整合模块；211-获取子模块；212-攻击面筛选子模块；213-攻击插件筛选子模块；214-链接子模块；220-加载模块；230-渗透测试模块；231-第一测试子模块；232-第二测试子模块；240-展示模块。具体实施方式为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通本文档来自技高网...

【技术保护点】
1.一种渗透测试方法，其特征在于，应用于测试终端，所述方法包括：生成攻击链，所述攻击链包括一个以上待使用攻击面，所述待使用攻击面包括一个以上可用攻击插件；加载所述可用攻击插件；按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标；对得到的渗透测试结果进行展示。

【技术特征摘要】
1.一种渗透测试方法，其特征在于，应用于测试终端，所述方法包括：生成攻击链，所述攻击链包括一个以上待使用攻击面，所述待使用攻击面包括一个以上可用攻击插件；加载所述可用攻击插件；按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标；对得到的渗透测试结果进行展示。2.根据权利要求1所述的方法，其特征在于，按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标，包括：针对所述攻击链中的任一待使用攻击面，运行该待使用攻击面中的各可用攻击插件，并将各可用攻击插件的运行结果添加到该待使用攻击面的运行结果集合中；若该待使用攻击面与目标攻击面一致，且该待使用攻击面的运行结果集合中包括运行成功的结果，则确定达到用户指定的渗透目标；其中，所述目标攻击面为用户指定的攻击面。3.根据权利要求2所述的方法，其特征在于，按照所述攻击链中的各所述待使用攻击面的优先级，依次运行各所述待使用攻击面中的所述可用攻击插件，直至达到用户指定的渗透目标，还包括：若该待使用攻击面与所述目标攻击面不一致，且该待使用攻击面的运行结果集合中包括运行成功的结果，则将该待使用攻击面的运行结果集合作为下一优先级的待使用攻击面的输入，并运行该下一优先级的待使用攻击面中的各可用攻击插件。4.根据权利要求3所述的方法，其特征在于，将该待使用攻击面的运行结果集合作为下一优先级的待使用攻击面的输入，并运行该下一优先级的待使用攻击面中的各可用攻击插件，包括：针对所述下一优先级的待使用攻击面中的每一可用攻击插件，该可用攻击插件从输入的所述运行结果集合中查找运行所需的参数；若未查找到，则返回运行失败的结果。5.根据权利要求1-4中任一项所述的方法，其特征在于，生成攻击链，包括：获取待测试的目标渗透范围；根据各攻击面的配置文件选取属于所述目标渗透范围的攻击面作为所述待使用攻击面；根据各攻击插件的配置文件选取与所述待使用攻击面对应的攻击插件作为所述可用攻击插件；将属于同一所述待使用攻击面的所述可用攻击插件划分至一个节点，得到一个以上节...

【专利技术属性】
技术研发人员：张壮壮，
申请(专利权)人：北京知道创宇信息技术有限公司，
类型：发明
国别省市：北京,11