一种内网渗透测试方法、装置、电子设备及存储介质与流程

本申请属于信息安全领域，尤其涉及一种自动渗透测试的方法、装置、电子设备及存储介质。

背景技术：

1、网络安全已经成为社会的焦点问题。网络安全体系是保证信息安全的关键，出现安全漏洞就会影响整个网络安全体系，威胁网络安全。

2、随着工控技术的进步，越来越多的工控设备接入到互联网当中，工控网络安全越来越重要。然而，根据网络安全众测平台统计，2020年，网络安全众测平台共收录通用软硬件漏洞19964个。其中，高危漏洞6906个(占34.6％)、中危漏洞10633个(占53.3％)、低危漏洞2425个(占12.1％)。

3、结合近几年全球互联网爆发的安全事件可以看出，资产的脆弱性是导致网络安全的主要原因，资产十分容易受到漏洞威胁。

技术实现思路

1、本申请提供了一种自动渗透测试的方法和装置，能够解决现有技术中资产容易受到漏洞威胁的问题。

2、本申请实施例的第一方面提供了一种自动渗透测试的方法，包括：

3、确定场景信息和渗透目标，所述场景信息包括测试方式；

4、对所述渗透目标进行识别，得到所述渗透目标的资产信息；

5、根据所述测试方式对所述资产信息进行渗透测试，得到第一漏洞信息。

6、上述方法可以由电子设备或者电子设备中的芯片执行。电子设备确定场景信息和渗透目标，电子设备根据用户所选择的场景信息和渗透目标，对渗透目标进行识别，得到渗透目标中的资产信息。根据场景信息中的测试方式对测试信息渗透测试发现，识别得到的漏洞可保存并生成第一漏洞信息。采用本申请提供的方法，用户只需根据需求选择场景信息和渗透目标，电子设备即可识别资产信息，测试资产信息，得到漏洞信息，从而可以及时发现漏洞威胁，提高资产安全。

7、可选地，所述对所述渗透目标进行识别，得到所述渗透目标的资产信息，包括：确定所述渗透目标的节点；根据预设的节点与服务特征对照关系库，确定每个所述节点提供的节点服务；对所述节点服务进行解析，得到所述渗透目标的资产信息。

8、扫描渗透目标的节点可以收集资产信息，但是不能单纯的以节点来辨别服务，因为管理员为了提高安全性，对一些服务的节点进行修改。所以，根据预设的节点与服务特征对照关系库确定节点提供的节点服务，从而能够对节点服务进行解析，对相应节点的服务信息进行更深入的挖掘，得到资产信息。如此，提高了效率，并准确获取资产信息。

9、可选地，所述测试方式为专项测试方式或者全量测试方式，所述根据所述测试方式对所述资产信息进行渗透测试，包括：若所述测试方式为全量测试方式，对所述资产信息对应的主机、web、自定义模块进行测试；若所述测试方式为专项测试方式，对所述资产信息对应的自定义模块进行测试。

10、资产信息中的漏洞往往被黑客攻击利用，泄露资产信息，威胁网络安全。测试资产信息可以获得漏洞信息，避免漏洞被黑客发现后攻击利用。测试方式可根据用户的需求和实际场景选择，对资产信息的测试也是无损的，并不会资产信息造成影响。

11、可选地，所述资产信息，包括：互联网协议(ip)地址、资产局域网(mac)地址、资产开放端口和资产开放服务。

12、可选地，所述方法还包括：采用辅助工具对所述第一漏洞信息进行验证，得到验证结果。

13、可选地，所述采用辅助工具对所述第一漏洞信息进行验证，包括：采用辅助工具测试所述渗透目标，得到第二漏洞信息，根据所述第二漏洞信息与所述第一漏洞信息的相似度确定所述第一漏洞信息的准确度，所述辅助工具包括弱口令破解辅助工具、接口测试辅助工具或模糊测试辅助工具。

14、辅助工具功能强大，可以辅助用户手动测试。相对于自动测试，辅助工具测试的优点是可以发现自动测试可能未发现的更狡猾漏洞和攻击，比如盲sql注入攻击、逻辑缺陷和访问控制漏洞。用户可以通过辅助工具分析应用程序对此类攻击的响应，可以捕捉到自动测试软件认为没问题，但实际上有问题的响应。此外，根据第一漏洞信息与第二漏洞信息的相似度确定第一漏洞信息的准确度，适用于生成测试报告，有助于提高渗透测试的准确度。

15、可选地，所述方法还包括：若所述第一测试结果的准确度大于预设值，对比所述第一测试结果和所述第二测试结果，得到所述第一漏洞信息和所述第二漏洞信息中相同的漏洞，根据所述相同的漏洞生成测试报告。

16、测试资产信息难以避免因测试方式和测试方法的不足而遗漏漏洞，辅助工具对渗透目标再次测试获得第二漏洞信息可以发现遗漏的漏洞，并确定第一漏洞信息的准确度，只有第一漏洞信息的准确度大于预设值时，才能生成测试报告。使用户得到准确的测试报告，避免了无意义的测试和等待，提高了测试效率。

17、本申请实施例的第二方面提供了一种内网渗透测试装置，包括：

18、确定单元，用于确定场景信息和渗透目标，所述场景信息包括测试方式；

19、识别单元，用于对所述渗透目标进行识别，得到所述渗透目标的资产信息；

20、测试单元，用于根据所述测试方式对所述资产信息进行渗透测试，得到第一漏洞信息。

21、本申请实施例的第三方面提供了一种电子设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上述第一方面所述的渗透测试方法。

22、本申请实施例的第四方面提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现如上述第一方面所述的渗透测试方法。

23、本申请实施例的第五方面提供了一种计算机程序产品，当计算机程序产品在电子设备上运行时，使得电子设备执行上述第一方面中任一项所述的渗透测试方法。

技术特征：

1.一种内网渗透测试方法，其特征在于，包括：

2.根据权利要求1所述的内网渗透测试方法，其特征在于，所述对所述渗透目标进行识别，得到所述渗透目标的资产信息，包括：

3.根据权利要求1所述的内网渗透测试方法，其特征在于，所述测试方式为专项测试方式或者全量测试方式，所述根据所述测试方式对所述资产信息进行渗透测试，包括：

4.根据权利要求1所述的内网渗透测试方法，其特征在于，所述资产信息包括：互联网协议地址、资产局域网地址、资产开放端口和资产开放服务。

5.根据权利要求1所述的内网渗透测试方法，其特征在于，所述方法还包括：

6.根据权利要求1所述的内网渗透测试方法，其特征在于，采用辅助工具对所述第一漏洞信息进行验证，包括：

7.根据权利要求6所述的内网渗透测试方法，其特征在于，所述方法还包括：

8.一种内网渗透测试装置，其特征在于，包括：

9.一种电子设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至7任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，当所述计算机程序被处理器执行时，使得包含所述处理器的装置执行权利要求1至7中任一项所述的方法。

技术总结本申请涉及信息安全领域，提供了一种内网渗透测试方法、装置、电子设备及存储介质，其中，内网渗透测试方法包括：确定场景信息和渗透目标，所述场景信息包括测试方式；对所述渗透目标进行识别，得到所述渗透目标的资产信息；根据所述测试方式对所述资产信息进行渗透测试，得到第一漏洞信息。通过上述方案检测发现漏洞，保护资产。技术研发人员：张哲宇,卢春景,廖剑,任晓蕊,许一骏,邱亚钦,吴莉娜,朱佳佳,贾梦迪,张格受保护的技术使用者：国家工业信息安全发展研究中心技术研发日：技术公布日：2024/9/17