# 背景 業務開發需要判斷業務狀態是否在30、40、50、60的集合內，所以寫了以下代碼 ``` int[] inLiq = {30,40,50,60}; return Arrays.asList(inLiq).contains(o.getOrderStatus()); ``` 自我Review代碼 ...
在講解滲透測試之前，我們需要瞭解一些基本的安全術語和概念。這將幫助你更好地理解滲透測試的目標和方法。在本節中，我們將介紹以下概念：
- 信息安全
- 安全漏洞
- 攻擊
- 威脅
- 風險
- 脆弱性
- 攻擊載荷
- 攻擊向量
- 威脅模型
- 防禦機制
1. 信息安全
信息安全（Information Security）是指保護信息和信息系統免受未經授權的訪問、使用、披露、損壞、修改或破壞的過程。信息安全的三個核心目標是：
- 機密性（Confidentiality）：確保信息僅對授權用戶可用。
- 完整性（Integrity）：確保信息在傳輸和存儲過程中不被篡改。
- 可用性（Availability）：確保信息和信息系統在需要時可用。
2. 安全漏洞
安全漏洞（Security Vulnerability）是指信息系統中的一個弱點，攻擊者可以利用這個弱點進行攻擊。
3. 攻擊
攻擊（Attack）是指利用安全漏洞對信息系統進行破壞、篡改或未經授權訪問的行為。
4. 威脅
威脅（Threat）是指任何有可能導致信息系統受損的潛在事件。威脅可以來自人為（如黑客攻擊）和自然（如火災、洪水）因素。
5. 風險
風險（Risk）是指信息系統受到威脅的可能性及其可能造成的損失。風險評估和管理是信息安全的關鍵任務之一。
6. 脆弱性
脆弱性（Exploitability）是指安全漏洞被成功利用的可能性。脆弱性評估可以幫助確定需要優先修複的漏洞。
7. 攻擊載荷
攻擊載荷（Payload）是指攻擊過程中實際執行的惡意代碼或數據。例如，在滲透測試中，攻擊者可能使用攻擊載荷來獲取對目標系統的控制。
8. 攻擊向量
攻擊向量（Attack Vector）是指攻擊者利用安全漏洞進入目標系統的途徑。常見的攻擊向量包括電子郵件、惡意軟體、社會工程等。
9. 威脅模型
威脅模型（Threat Model）是一種分析和量化信息系統面臨的威脅的方法。威脅模型可以幫助確定信息系統的安全需求和優先順序。
10. 防禦機制
防禦機制（Defense Mechanism）是指用於保護信息系統免受攻擊的技術和措施。常見的防禦機制包括防火牆、入侵檢測系統（IDS）、數據加密等。
實例：電子郵件釣魚攻擊
為了幫助你理解上述概念，我們將通過一個簡單的實例來說明如何應用這些概念。
假設一名攻擊者通過發送帶有惡意附件的電子郵件來進行釣魚攻擊，企圖誘使用戶下載並打開附件，從而獲得對用戶電腦的控制。在這個例子中：
- 信息安全：保護用戶的電腦和數據免受未經授權的訪問和損壞。
- 安全漏洞：用戶電子郵件客戶端可能存在的安全漏洞。
- 攻擊：釣魚攻擊，通過發送帶有惡意附件的電子郵件誘使用戶下載並打開附件。
- 威脅：來自攻擊者的人為威脅。
- 風險：用戶電子郵件客戶端被攻擊的可能性及其可能造成的損失。
- 脆弱性：攻擊者利用電子郵件客戶端安全漏洞的可能性。
- 攻擊載荷：惡意附件中包含的用於控制用戶電腦的代碼。
- 攻擊向量：電子郵件附件。
- 威脅模型：識別和量化用戶電腦面臨的由釣魚攻擊引起的威脅。
- 防禦機制：例如，安裝電子郵件客戶端的安全補丁，使用垃圾郵件過濾器，對附件進行病毒掃描，進行安全培訓等。
通過瞭解這些基本概念，你將更好地理解滲透測試的目標和方法。在後續章節中，我們將詳細討論滲透測試的具體技術和工具。
推薦閱讀：
https://mp.weixin.qq.com/s/dV2JzXfgjDdCmWRmE0glDA
https://mp.weixin.qq.com/s/an83QZOWXHqll3SGPYTL5g
