白盒、黑盒、灰盒与模糊测试

考点精讲

1. 白盒测试（White Box）测试者完全掌握内部结构、源代码与设计，能深入检查内部逻辑，测试全面但耗时长、偏内部视角；黑盒测试（Black Box）测试者无内部知识，只从外部输入输出观察行为，模拟真实攻击者视角，但可能漏掉内部逻辑缺陷；灰盒测试（Gray Box）介于两者之间，测试者拥有部分内部信息（如有限的架构知识或凭证），兼顾效率与覆盖。静态测试（SAST）不执行代码，通过代码走查、审查发现缺陷；动态测试（DAST）实际执行代码观察运行行为。模糊测试（Fuzzing）向程序输入大量随机或畸形数据，观察是否崩溃或出现异常，是发现缓冲区溢出等内存类漏洞的有效手段。

记忆技巧

常见误区

• 把白盒测试当成「更安全」的唯一标准——黑盒更贴近真实攻击者，两者互补。
• 混淆静态测试与动态测试——静态不执行代码（读代码），动态执行代码（跑程序）。
• 把模糊测试当成黑盒测试的同义词——模糊测试是「输入畸形数据」这一具体技术，可应用于不同盒测试。

真题思路

• 【示例】 【示例】常考「某测试者掌握哪些信息对应哪种盒测试」或「静态/动态测试的区别」，模糊测试的目标（找内存类漏洞）是常见考点。参考 Practice Tests 第 6 章（Domain 6）。
  

常见问题

相关知识