渗透测试有哪些种类？分别适合什么场景？入网安全评估报告一般要求哪种？
先纠正一个我们几乎每天都要解释一遍的说法：“渗透测试”不是一种测试，而是一整类测试的统称。
客户打电话来常说：“给我们系统做个渗透。”我们就得接着问：测什么？Web？App？接口？内网？给不给源码？要模拟外网黑客还是内部员工？这几个问题答案不同，价格能差三四倍，周期能从三天变成三周。
所以别急着问报价，先把下面这件事搞清楚：你手里有多少信息可以交给我们。这直接决定了该用白盒、黑盒还是灰盒。
渗透测试方法
一、黑盒测试：外部攻击者的视角
你知道什么： 几乎一无所知。只知道一个域名、一个IP地址，或者一个App的下载链接。没有源代码，没有架构图，没有内部账号。
你模拟的是谁： 一个外部黑客，坐在互联网的另一端，从零开始收集信息、寻找突破口。
怎么测： 测试人员会做信息收集，子域名枚举、端口扫描、服务识别、公开信息检索。然后尝试漏洞探测和利用，找到能打进去的口子。整个过程完全模拟真实外部攻击。
最适合的场景： 面向公众的Web应用、API接口、移动App。这类系统外部暴露面大，真实攻击者就是从外面来的。黑盒测试能最真实地反映“外部黑客能打多远”。
局限： 可能遗漏深层次的内部逻辑漏洞。因为看不到代码，有些漏洞藏在业务逻辑深处，黑盒测试很难触及。而且黑盒测试比较耗时，信息收集和路径探索需要大量时间。
二、白盒测试：内部人员的视角
你知道什么： 几乎什么都知道。源代码、架构设计、数据库结构、配置文件、甚至管理员账号。测试人员跟开发团队坐在一起，打开代码逐行分析。
你模拟的是谁： 一个拥有内部权限的攻击者，可能是一个心怀不满的员工，也可能是一个已经通过其他途径进入内网的攻击者。
怎么测： 直接审查源代码，追踪数据流，检查权限校验逻辑，分析加密实现。代码审计是白盒测试的核心手段。测试人员会找SQL注入的代码写法、硬编码的密钥、权限校验缺失、不安全的反序列化等问题。
最适合的场景： 金融、政务、医疗等对安全要求极高的系统。尤其是等保三级及以上的自研系统，白盒测试能从源头发现深层漏洞。另一个场景是上线前的安全审计，在攻击者发现之前把漏洞堵住。
局限： 时间和成本都很高。一个中等规模的系统，白盒测试可能需要一两周甚至更久。而且对测试人员的要求高，既要懂安全，又要精通开发语言和框架。
三、灰盒测试：介于两者之间
你知道什么： 知道一部分信息。比如有一个普通用户账号、能看到部分架构文档、或者知道系统用了什么框架。
你模拟的是谁： 一个已经进入系统但权限有限的攻击者，或者一个了解系统内部结构的内部人员。
怎么测： 结合外部探测和内部信息，设计更有针对性的攻击路径。比如用普通用户账号登录，尝试越权访问管理员接口；或者根据已知的架构信息，构造更精确的注入攻击。
最适合的场景： 大多数实际项目的渗透测试。灰盒测试在真实性和效率之间找到了平衡点。它比黑盒更快、更准，比白盒更省成本。
局限： 需要客户提供部分内部信息，对客户配合度有一定要求。如果提供的信息不准确，测试效果会受影响。
一张表看清三者差异
四、入网安全评估报告一般要求哪种？
入网安全评估跟普通渗透测试不一样。它的核心目标不是“测试人员能打多深”，而是“系统接入网络前，风险是否可控”。
入网安评报告通常要求覆盖“三位一体”的测试内容：技术测试、管理评估、物理环境检查。其中技术测试环节包括漏洞扫描、渗透测试、配置核查。
具体到渗透测试的类型选择，入网安评实践中最常用的是灰盒测试。
原因有几个：
第一，覆盖面要够。
入网安评需要验证系统在真实运行环境下的整体安全性。灰盒测试能结合外部探测和内部信息，覆盖更全面。
第二，要发现业务逻辑漏洞。
入网安评对越权访问、权限绕过这类业务逻辑漏洞特别关注。灰盒测试因为有内部信息，更容易发现这类问题。纯黑盒测试可能根本不知道某个接口的存在，自然测不到。
第三，效率要可控。
入网安评有明确的周期要求，纯黑盒测试的信息收集和路径探索可能耗费大量时间。灰盒测试能更快聚焦高风险区域。
第四，白盒代码审计作为补充。
对于自研系统，入网安评通常要求额外提供代码审计报告。这相当于白盒测试的深度，用于排查编码层面的缺陷。
所以，入网安评的实践组合通常是：灰盒渗透测试 + 漏洞扫描 + 代码审计。灰盒负责整体安全验证和业务逻辑漏洞挖掘，漏洞扫描负责已知漏洞的全面排查，代码审计从源头排查编码缺陷。三者组合，才能形成完整的证据链，满足入网安评的合规要求。
入网安评组合
四、选机构时注意什么？
2026年“一单一库”新政后，通用软件测试的CMA章已经盖不了了。入网安全评估报告认的是CNAS认可，同时机构需要具备CCRC信息安全风险评估服务资质。选机构时，登录CNAS官网确认其认可范围明确包含“软件测试”或“信息安全检测”相关类别，登录CCRC官网核实风险评估资质是否在有效期内。
黑盒测外部能打多远，白盒测内部有多脆弱，灰盒在两者之间找平衡。入网安评通常要求灰盒渗透测试为主，配合漏洞扫描和代码审计，形成完整的安全评估证据链。
如果你手头的系统需要做入网安评，拿不准该选哪种渗透测试类型、报告要覆盖哪些测试项，可以把系统类型和合规要求发给我们，免费帮你评估。先确认测试类型和资质要求，再动手做。
标签：渗透测试种类、第三方渗透测试机构