第五章从77-87页，这一章讲述在安全测试过程中要用到的各种分析技术，不同情况需要不同的分析方法。这里主要介绍的是黑、白、灰盒测试。白盒测试常用于质量保证领域，对于测试人员来说，所有关于被测试系统的信息都是已知的，在安全领域，这也可以认为是一种内部攻击，白盒测试是找出安全漏洞最为有效的方法。黑盒测试指以局外人的身份对系统进行分析，使用工具来监测系统的攻击面，并探查系统的内部信息，在没有系统内部知识的情况下，测试人员要获得对系统的情况，许多测试人员都非常依赖黑盒测试技术，并用它作为白盒测试的补充。理想的情况下，在安全测试期间，会一起使用黑盒和白盒两种测试技术，白盒测试用于在设计和开发中详细说明的那些功能中的缺陷，当无法了解应用程序内部信息的时候，使用黑盒测试来找出缺陷，这种组合有时称为灰盒测试。本章中还介绍了测试的一些工具，包括侦探程序、嗅探器、调试器、硬件还有一些商用的测试设备等，如果之后有时间的话，我倒是很想把这些工具都放到我的测试环境中试一试。

　　第六章开始就进入到该书的第二个部分——攻击演练。从90-194页，分为六章介绍了攻击演练的各种方法，分别是常见的网络故障注入、会话攻击、Web应用程序的常见问题、使用WebScarab、实现定制的侦探工具、本地故障注入。这里介绍了在网络上发现应用程序并对其进行攻击，针对站点Web站点的会话管理功能展开的攻击，还展示了如何执行SQL注入攻击等。从198-213页描述如何基于漏洞对应用程序的潜在影响来确定其影响范围和严重程度。将看到安全漏洞是怎样在处理器指令层上触发的，这样，就可以辨别应用程序的崩溃是否会导致代码的执行。

　　读完本书最大的感受是“测试真的很重要”，虽然我还没有完全感受到测试的艺术，但是测试真的比我平时了解的、接触的需要更专业的知识，它并不是一项可有可无的工作。目前，我还没有想过会专心做测试这个方向，所以对于该书中很多很好的实例、工具也没有更好的去学习，觉得有点遗憾，或许以后的工作中会更多接触到测试，我会更进一步去学习。