2021年国内渗透测试服务的发展状况分析

近年来，渗透测试在国内发展迅速，但与国际发达国家相比，其发展程度相对滞后。首先，在理论研究方面，国内的渗透测试没有形成具有较高权威性的标准、手册和技术指南，国内的理论研究成果大多来自大学和研究院的网络安全学者的研究。例如，华中师范大学周伟提出的基于树结构的网络渗透测试系统，广东大学许老师提出的网络信息安全渗透测试平台，重庆大学袁老师提出了改进的网络渗透测试方法等。

目前，国内提供专业渗透测试服务的主要是一些安全制造商和黑客团体，他们的水平参差不齐，一些安全制造商已经推出了自己开发的安全评价产品，如SINESAFE、启明星、绿联技术等。同时，许多安全测试产品的研发厂商开始陆续招募黑客工具的开发者。在国内，每年定期召开中国网络安全大会、中国信息安全大会、腾讯网络安全技术峰会等安全会议。但是，目前国内大多数渗透测试服务实际上只是漏洞扫描，不是真正意义上的渗透测试服务，实质上不能满足渗透测试的需求，而国际专业的渗透测试服务提供商相对较远。比如国内第一代黑客代表人物小榕研发的APP安全扫描工具，可以对基于互联网平台的APP安全性进行系统、全面的评价，而国际以机构为例，机构已经将网络渗透服务与APP渗透服务结合起来，为客户提供线上下单的服务，同时也实现了全球渗透测试服务的标准化，让客户突破时空限制，随时随地都能享受到同等品质的渗透测试服务。

通过上述分析，国内外研究所形成的一系列标准、技术指南和组织基本上都是网络渗透测试，没有特别提供应用渗透测试的详细规范。综上所述，目前国内外对渗透测试所开展的研究均处于起步阶段，主要缺点在于缺乏一套标准的应用渗透测试方法，导致不同的渗透测试服务提供商或测试人员实施渗透测试的工作流程、测试的漏洞范围和结果大不相同。因此，本文在相关理论和技术研究的基础上，参考现有的安全标准和测试流程，总结和提炼出科学有效的应用渗透测试方法，结合实际项目提供完整的应用案例验证该方法。