发现的风险的例子:在Web接口中处理程序状态的糟糕方法
渗透测试非常有用,如果根据体系结构风险分析来设计测试,效果就更好。渗透测试的优点是,它给出了对处于真实运行环境中的实际部署的软件的很好的理解。但是,没有考虑软件体系结构的任何这类测试,或许都不能揭示关于软件风险的任何有用的信息。不能通过预构的应用程序安全测试工具所实施的封闭黑箱测试的软件肯定是非常糟糕的。因此,通过低层次的渗透测试,只能揭示出一点点软件的真实安全状况的信息,但是未能通过封闭的渗透测试,则说明你确实处于很糟糕的状况中(参见第1章)。
![软件安全的7个接触点(4)——渗透测试_接触点](http://www.sinoit.org.cn/NewsLetter/NO.1/p_w_picpaths/book1.png)