hvv面试问题整理（最重要的)信息安全资料.pdfVIP

·渗透测试流程

（获取授权）在拿到授权且与客户沟通之后，拿到客户提供的资产或者目标域名；

信息收集：主要使用nmap、御剑、fofa等工具，收集端口、同段IP、子域名、相关服务、

框架、使用的中间件等组件、各种版本信息、历史漏洞信息等相关信息，收集到信息后可

以检索相关漏洞，再手动验证

漏洞扫描：根据收集到的信息使用漏扫等工具进行扫描爆破等自动化探测，按照扫描结果

进行漏洞验证

手工漏洞挖掘：进行手工漏洞验证和手工漏洞的挖掘

先将收集到的框架漏洞、组件漏洞进行手工验证；

然后对主要功能点，比如登录页面、文件上传页面、信息查询页面、密码重置页面等，使

用burp