问：黑盒测试和白盒测试可以一起使用吗？哪些东西是黑盒测试可以找到，但白盒测试不能找到的？

　　答：黑盒测试和白盒测试一起使用是一种理想状态。相比只使用一种方法来说，同时使用这两种类型的测试能确定更多的漏洞，但很多时候因为资源有限，这两种测试不能一起进行。

　　黑盒测试是以外人的角度来测试系统，白箱测试是以内部人员的角度来测试系统。

　　黑盒测试人员试图影响攻击应用程序，但事先对系统架构不太了解，不能依赖于访问源代码或系统架构知识来进行。黑盒测试寻找可用于获取未经授权访问权限的漏洞、拒绝服务攻击，或许多其他类型的攻击。黑盒测试可以看作是一个外部渗透测试，其目的是访问敏感数据或受保护的资源。

　　相反，白盒测试人员已经有或正在掌握内部知识，有可能访问内部文件和源代码，及其他内部资源。黑盒测试试图从攻击者的角度来寻找漏洞，白盒测试试图从质量保证的角度来查找威胁。白盒测试验证代码、安全功能，或识别可利用的漏洞。通过源代码分析工具或手动分析可以做到这些。

　　一些企业可能更容易接受白盒测试，因为黑盒测试大多是在安全行业的道德界限边缘进行的。黑箱测试一般是由那些从事于客户端的道德测试者来执行的，并且测试结果是保密的。

　　有时还会招募改造后的网络罪犯来执行黑盒测试，因为他们能以网络罪犯的角度来看问题，试图找到可以被非法访问的漏洞。这被看作是使罪犯从他们的罪行中获利，在信息安全领域里代表道德灰色地带。

　　关于白盒和黑盒测试（包括灰盒测试）的更多细节，可在由美国国土安全部和Cigital公司提供的Build Security In project（在程序中建立安全）中找到。