滲透測試是在取得授權的前提下，由測試人員模擬真實攻擊者的手法，嘗試繞過網站、系統或網路的安全機制，確認弱點是否真的能被利用、可以深入到什麼程度。它和弱點掃描的差別在於：掃描器只檢查弱點「可能存在」，滲透測試則實際嘗試利用來確認。美國國家標準與技術研究院（NIST）把流程分成規劃、探索、攻擊與報告四個階段，並提醒測試可能讓系統受損，應在審慎考量、通知與規劃後才進行。企業委託時，重點是先寫清楚授權範圍與規則，網站端備妥備份與測試帳號，收到報告後依風險修補並安排複測。
滲透測試是什麼：模擬攻擊、驗證弱點
NIST 的資訊安全測試與評估技術指南，把滲透測試定義為評估人員模擬真實攻擊，找出繞過應用程式、系統或網路安全功能的方法。它要回答的不只是「有沒有弱點」，而是攻擊者能做到哪一步。NIST 列出滲透測試可以協助判斷的四件事：
- 系統承受真實攻擊手法的程度。
- 攻擊者需要多高的技術程度才能成功入侵。
- 還可以加上哪些對策來降低威脅。
- 防守方能否偵測到攻擊並適當回應。
Open Worldwide Application Security Project（OWASP）的網站安全測試指南也提醒，滲透測試只能找出所有可能風險中的一小部分代表樣本，正確做法是結合多種技術的平衡做法，不能只靠一次測試判斷網站安不安全。
弱點掃描與滲透測試的差別
兩者常被一起提起，但方法與回答的問題不同：
| 比較項目 | 弱點掃描 | 滲透測試 |
|---|---|---|
| 方法 | 以自動化工具比對已知弱點 | 由測試人員依授權範圍嘗試利用弱點 |
| 回答的問題 | 哪裡可能有弱點 | 弱點能否被利用、可以深入到哪裡 |
| 結果確認 | NIST 指出掃描器的誤判率可能很高，需要人工判讀 | 以實際利用確認弱點存在 |
| 對系統的影響 | 可能佔用頻寬、拖慢回應 | 系統可能受損或暫時無法運作 |
| 人力 | 以自動化為主 | NIST 形容需要大量人力與高度專業 |
預算有限時，可以先做掃描找出明顯問題並修補，再以滲透測試驗證重要系統的實際風險。
黑箱、灰箱、白箱測試怎麼選
三種方式的差別，在於測試人員事前掌握多少內部資訊。NIST 詞彙表的定義如下：
- 黑箱測試：不假設知道受測對象的內部結構與實作細節，接近外部攻擊者的視角，適合了解網站從外面看會暴露什麼。
- 灰箱測試：假設知道部分內部結構與實作細節，例如提供會員或管理員測試帳號，可以檢查登入後的功能與權限設計。
- 白箱測試：假設明確且大量了解內部結構，例如提供原始碼與架構文件，能檢查得較深入，但準備資料與溝通的工作也較多。
網站有會員、訂單或後台權限分級時，只做黑箱測試可能碰不到登入後的功能，可以和測試方討論是否改採灰箱。
測試流程：規劃階段就要確認授權與範圍
NIST 把滲透測試分成四個階段：
- 規劃：確認測試規則、完成管理層核准並記錄、設定測試目標，這個階段不進行測試。
- 探索：蒐集資訊與掃描，再分析可能的弱點。
- 攻擊：嘗試利用弱點，驗證是否真的存在。
- 報告：與前三個階段同時進行，記錄發現與建議。
規劃時要寫進書面約定的項目包括：受測的網域、子網域、IP 位址與應用程式；測試期間與時段；禁止使用的工具或手法；雙方聯絡窗口與緊急中止條件。NIST 提醒測試前要確認所有公開位址都屬於組織管轄。網站放在雲端時，也要遵守平台規範：以 Microsoft 雲端為例，測試只能在自己的租用戶或取得明確授權的資產內進行，並嚴格禁止分散式阻斷服務攻擊；以 Google Cloud 為例，不需事先聯絡 Google，但要遵守可接受使用政策與服務條款，且只能影響自己的專案。
網站端要配合準備的事
NIST 指出，測試過程中系統可能受損或無法運作，即使經驗豐富的測試人員也無法完全排除這個風險。委託前，網站端可以先完成這些準備：
- 備份與還原：測試前完整備份網站檔案與資料庫，並確認可以還原。
- 測試環境：決定在正式站或與正式站相同設定的測試站進行，涉及付款與寄信的功能要先約定處理方式。
- 測試帳號：灰箱測試需要的各種權限帳號，結案後立即停用。
- 第三方服務清單：列出金流、寄信、地圖等外部服務，未取得該服務授權的部分排除在範圍外。
- 通知主機與防護服務：先確認主機商的測試規範，需要事先告知或申請的就照規定辦理；網站前面有 WAF 防火牆時，約定測試期間的處理方式，並保留記錄供事後比對。
報告怎麼看、修補後怎麼複測
NIST 說明報告會描述發現的弱點、提出風險評等，並提供減緩建議，而且發現的弱點都應該處理。驗收報告時可以逐項確認：
- 測試範圍與期間是否和約定一致，未測到的項目有沒有列出原因。
- 每個弱點是否有受影響的網址或元件、重現步驟與佐證。
- 風險評等的依據是否清楚，能否據此排出修補順序。
- 減緩建議是否具體到能交給網站開發或主機管理方執行。
修補完成後安排複測。NIST 提到，已知有弱點的系統，可以延後到弱點減緩後再測，以確認問題已解決；複測結果要記錄在報告或附件，作為結案依據。
什麼時候做滲透測試
NIST 指南提到評估的頻率依風險而定，資源也常是限制測試類型與頻率的因素。可以考慮的時機包括：新系統或會員功能上線前、架構或主機大幅更換後、客戶或合作夥伴要求提供測試結果時，以及資安事件處理完成後確認修補成效。OWASP 的網站安全測試指南把「在開發流程中進行得太晚」列為滲透測試的缺點之一，建議在設計與開發階段就搭配其他安全檢查，而不是只在上線前測一次。
常見問題
可以直接在正式網站上做滲透測試嗎？
可以，但要權衡風險。正式環境較接近實際狀況，若擔心影響訂單或會員資料，可先在設定相同的測試站進行，正式站只做範圍較小的確認，並避開營業尖峰時段。
滲透測試一定要提供原始碼嗎？
不一定，要看測試類型。黑箱測試不提供內部資訊；白箱測試才會提供原始碼與架構文件，委託時要約定這些資料的保管方式與結案後的處理。
測試期間要通知公司員工嗎？
NIST 分成公開與隱蔽兩種：公開測試在資訊人員知情並同意下進行；隱蔽測試只讓高層完全知情並許可，可用來觀察防守方的偵測與應變。兩種都要有管理層核准。
測試中接觸到的會員資料怎麼處理？
委託時就要約定資料只能用於測試、不得外流，結案後刪除或交還；報告中的截圖也應遮蔽個人資料，避免報告本身變成外洩來源。
滲透測試報告可以直接交給客戶嗎？
完整報告會描述弱點與風險評等，對外提供前要評估是否揭露了尚未修補的問題。可以改提供測試範圍、日期與修補狀態的摘要。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
委託滲透測試前，建議先整理網站的網域、子網域、主機與第三方服務清單，並確認備份能夠還原。測試本身請委託專業的資安測試單位；京采的技術 SEO 與網站健檢服務可以協助盤點網站與 DNS 設定、準備測試帳號與測試環境，並在收到報告後配合修正網站設定與主機、DNS 相關項目。想先了解網站現況，歡迎與我們聯繫。
