安全测试之前言

在以前和现在的工作中都有过一些安全方面的涉猎，虽然不是很深入，也算是自己的一些经历，在接下来的几篇文章中会逐步跟大家探讨安全性测试，当然，更多是web安全相关的。而这篇文章，就当作是说一些正确的废话，作为正文前的序。

白帽子与黑帽子

黑客并非都是黑的，白帽就是通过攻击自己的系统或者聘请来攻击客户的系统以便进行安全审查，与之相反，黑帽就是大家所熟知的“黑客”或“骇客”。他们往往利用自身技术，在网络上窃取别人的资源或破解软件。

另外，在白和黑之间，还存在灰帽和红帽，灰帽指的是那些懂得技术防御原理，并且有实力突破这些防御的黑客——虽然一般情况下他们不会这样去做。与白帽和黑帽不同的是，尽管他们的技术实力往往要超过绝大部分白帽和黑帽，但灰帽通常并不受雇于那些大型企业，他们往往将黑客行为作为一种业余爱好或者是义务来做，希望通过他们的黑客行为来警告一些网络或者系统漏洞，以达到警示别人的目的，因此，他们的行为没有丝毫恶意。

红帽其实就是以正义、道德、进步、强大为宗旨，以热爱祖国、坚持正义、开拓进取为精神支柱，这与网络和计算机世界里的无国界情况不同，所以，并不能简单讲红客就归于两者中的任何一类。红客通常会利用自己掌握的技术去维护国内网络的安全，并对外来的进攻进行还击，通常，在一个国家受的网络或者计算机受到国外其他黑客的攻击时，第一时间做出反应、并敢于针对这些攻击行为做出激烈回应的，往往是这些红客们。

我们经常都会看到新闻说某国家政府网站或军队网站被黑，这都是他们红客干的。最负盛名的一个事件就是2001年中美黑客大战，当时中国有8万多名红客对美国发起总攻，据网络新闻当时经过一天一夜的攻击，被攻陷的美国网站有90多个，被黑的中国网站超过600多个，由于国内一些红客没有把所黑网站及时报上去，中美被黑网站比例大致在3：1左右，而在当时，使用较多的就是实施DOS（denial of service）拒绝服务攻击。感兴趣的朋友可以问下度娘或谷哥了解更多。

安全攻击动机

一般来讲可以分为以下三种动机：

1. 经济利益，这也是绝大部分黑客所追逐的，而且在经济利益面前，非常容易被诱惑，白帽走上不归路，最后被法律所制裁；

2. 技术炫耀，特别是初学者都渴望练练手，做出点成绩给圈内人看，以证明自己，也许并无恶意；

3. 政治目的，上面内容已经详细介绍了这一类型。

黑客组织&论坛

国内一些黑客联盟包括：中国红客联盟，看雪学院，中国鹰派联盟，黑客基地，邪恶八进制。而比较知名的论坛：黑基论坛和Wooyun乌云论坛，后者每天都有很多人提交一些安全漏洞到乌云上，对安全测试感兴趣的话可以经常上去看看别人找漏洞的思路，开拓自己的知识面。

具备的能力

真正要做好黑客或安全的人员实属不易，的确需要众多方面的能力：

较强编程能力

熟悉操作系统及其漏洞

熟悉浏览器及其漏洞

熟悉编程语言及其漏洞

熟悉服务器及其漏洞

精通协议

熟练使用相关工具

非常强的学习能力

【闲谈】

此文就当是打开一个话题简单介绍了一下，在接下来一段时间内，还会详细介绍SQL注入，XSS攻击，DOS及CSRF等内容，敬请关注。

各位周末愉快！

===========================

关注微信公众账号“zzzmmmkkk”,不定期吐槽有关测试技术,测试经验,测试思考和生活感悟等。