备考Security的时候我第一遍看“常见网络攻击”这一章最大的障碍不是看不懂而是记不住今天背下钓鱼明天就把水坑攻击忘了上午还能分清DoS和DDoS下午一遇到中间人攻击又开始发懵。Security学习笔记走到第五篇前面几篇把网络基础、加密基础和身份访问管理大致铺了一遍这一篇终于要直面最热闹的部分——攻击。网上关于攻击的名词非常多有些你已经听过无数遍比如病毒、木马、钓鱼有些则长得极其相似比如鱼叉式钓鱼和鲸钓比如重放攻击和中间人攻击。这篇笔记要做的不是把每个词抄一遍而是把所有常见攻击放到一张“攻击视角”地图里把“它们长什么样、为什么能成功、站在防守方该盯哪里”讲清楚。1. 先给攻击分个类别急着背先搭框架1.1 三个观察维度入口、手段、结果任何一个攻击都可以从三个角度来看。这不是唯一的分类方法但用来做学习笔记非常顺手因为它能帮你在看到一个陌生攻击名词时不慌。第一看入口攻击者从哪里进来大致落在四类通过网络发起的流量攻击、针对应用程序的请求攻击、针对人的诱导欺骗、以及针对物理环境的接触攻击。第二看手段攻击者在做什么是偷偷看、悄悄改、还是干脆让人看不见第三看结果伤害落在CIA三元组里的哪个属性上攻击结果对应属性直观理解机密性被破坏Confidentiality不该看到的数据被人看到了完整性被破坏Integrity数据被静悄悄篡改没被察觉可用性被破坏Availability服务直接瘫掉谁都访问不了大多数攻击并不是只命中一个属性。比如钓鱼邮件诱导用户打开宏文档、植入勒索软件入口是人手段是诱骗最终结果既破坏可用性文件被加密无法使用又破坏完整性文件内容被改写。所以这组维度更像一个观察框架而不是非要对号入座的分类标准。1.2 我整理笔记的顺序先认人再看路最后看房子本身这章知识点很杂我一开始试图按字母序排结果越记越乱。后来换了一种方式把攻击想象成一次入侵过程。先认识“敌人名单”也就是恶意软件家族都有哪些成员再看在动手之前攻击者如何利用人的弱点也就是社会工程学接着看流量在网络里经过时能被人做什么手脚这是网络层攻击最后看服务本身写得不够安全时应用层会出现哪些窟窿。按这个顺序整理下来整个章节就有了故事感每个攻击类型都能被装进“入口——手段——结果”的框架里复习的时候相当于在脑子里重放一遍攻击路径。2. 恶意软件别再说“不就是病毒吗”2.1 病毒、蠕虫、木马用“要不要宿主”来记很多人把所有恶意软件都叫病毒但考试和实际工作中并不会这么粗暴归类。判断恶意软件类型我习惯用三个问题来问它需要附着在其他文件上才能活吗会不会自己感染自己地到处传播长得像不像一个正常程序这三个问题一出来几类常见恶意软件就分开了。恶意软件类型是否依赖宿主是否自主传播典型行为病毒依赖附着在文件或宏中需要用户触发潜伏在文档、可执行文件里激活后感染其他文件蠕虫不依赖自主传播利用漏洞在网络中自我复制速度极快木马伪装成正常软件不自主传播需要用户主动安装装乖引诱下载装好后暴露后门间谍软件可独立运行视变种而定静默记录按键、屏幕、行为习惯勒索软件可独立运行视变种而定加密数据、索要赎金僵尸程序可独立运行由控制端下发指令被远程控制参与DDoS、群发垃圾流量用“要不要宿主”这个维度来记是最快的。病毒像寄生生物必须靠宿主文件存活用户不打开带宏的文档它就动不了蠕虫则完全不需要搭便车它会自己找门缝钻过去所以爆发往往特别突然而木马走的是“你请我进来”的路线它把自己打扮成一个正常软件等你亲手双击。记清楚这三者的区别选择题照妖镜一样好用。2.2 勒索软件为什么最难防加密加心理双重打击勒索软件近几年能成为主角原因其实很直白它把技术和人性绑在了一起。攻击者不一定技术多高只要把数据加密让业务停摆再抛出“给钱就恢复”的筹码受害者就会陷入巨大的恢复压力和心理恐慌。我在梳理防范思路时发现真正有效的不是某款杀毒软件而是三件朴素的事。离线备份要真正做到“能回滚”不只备份一次还要定期演练恢复流程否则到了关键时刻才发现备份数据也已经不可用那比不备份更崩溃。最小权限原则要落地大部分业务根本不需要管理员权限跑日常操作权限越小勒索软件可加密的范围就越小。邮件附件和宏的入口要收紧很多勒索软件都是通过伪造发票、压缩包附件进来的来自不明发件人的附件不要直接开。有一点我需要单独拿出来说遇到勒索软件第一反应不应该是交赎金。先确认备份是否可用、事件是否上报、样本是否留存这些才是真正能止损的动作。交赎金意味着你默认了“数据只能靠对方恢复”而攻击者收了钱不一定守信用这件事在安全圈里已经是共识了。2.3 识别恶意软件的实操检查备考阶段容易忽略的一点是恶意软件不仅是概念也是真实环境里可以被观察到的东西。我在整理笔记时给自己列了一个检查清单。进程层面一台机器CPU居高不下、内存异常增长常见于挖矿程序或蠕虫传播。网络层面主机频繁向陌生域名发起外联典型于间谍软件和僵尸程序。文件层面大量文件被改名、后缀变成不可识别格式基本就是勒索软件爆发。哈希校验给可疑样本算一次哈希值放到威胁情报源里对比可以快速确认它是不是已知恶意软件。沙箱执行需要鉴定样本行为时放到隔离环境里跑一圈看它访问了什么、改了什么再做判定。考试很少直接考“如何分析样本”但很喜欢用现象反推类型。比如题目说“某个程序把自己附加在Office文档宏里靠用户打开触发”答案基本锁定病毒“某个程序无需用户操作就通过漏洞不断感染其它主机”这是蠕虫“某个软件外观是实用小工具装上后却打开远程控制端口”这是木马。把特征和类型精确连起来比死背十个定义强得多。3. 社会工程学攻击者的真正目标是人3.1 钓鱼家族从广撒网到精准投喂社会工程学攻击本质上不是技术问题而是心理学问题。Security考纲里最密集出现的就是钓鱼家族它们核心都是骗人但“骗谁”和“怎么骗”差别很大。钓鱼是广撒网式的攻击者批量发送仿冒邮件或短信话术要么是中奖通知、要么是系统升级只要有一两个上钩就算成功。鱼叉式钓鱼则是精准投喂攻击者先做了功课知道你是财务、你是HR、你是系统管理员然后定制一封看起来特别像同事来信的内容。鲸钓则更直接专挑高管、拥有财务权限的大鱼下手话术往往是“紧急付款”“合同变更”这类需要马上决策的场景。除此以外还有两类变种值得注意水坑攻击是攻击者攻陷目标人群常访问的网站在页面里埋入恶意代码等人自己踩进来语音钓鱼和短信钓鱼则是换渠道继续玩同一套骗术一个打电话冒充客服套验证码一个发短信引导点链接。3.2 线下的小动作尾随、肩窥、垃圾搜寻、借口欺骗网络安全考试不会只考线上攻击物理层面的社会工程学同样是重点。尾随是跟着已授权的人一起通过门禁门开了你顺势进去这在大门进出、高峰期尤其常见。肩窥是站在旁边偷看你输入的密码或屏幕内容在咖啡厅、机场、开放工位都可能发生。垃圾搜寻是攻击者去翻打印废纸、外包装、便利贴从中拼出账号名和员工信息。借口欺骗则是编造一个看似合理的理由比如假装修理工给前台打电话说“我需要机房密码更新系统”其实只是为了套取访问权限。还有一种诱饵攻击故意丢一个U盘在停车场或前台等人出于好奇捡起插进电脑。这些手法单看都很简单但它们擅长组合。比如某攻击者先尾随一名员工进入办公区站在身后肩窥到手提电脑的开机密码再假扮成IT外包人员以维护名义索要一个数据库备份账号。每一步单独看都不算离谱连在一起就成了一次完整渗透。3.3 防线的关键不是工具是习惯技术手段很难完全挡住社会工程学因为攻击者骗的不是机器是人。提升抵抗力要靠可复用的习惯。看邮件先看发件人域名仿冒邮箱和真实邮箱往往只有一个字母的差别。链接先悬停不急着点看URL的文字旁边浮出来的真实地址才知道自己被引导去哪里。验证码和转账信息一律不提供给主动来电方真正的企业不会突然急迫地索要这些。企业侧也有成熟做法。定期做模拟钓鱼演练比讲课管用因为这能在员工真实犯错时给出反馈对敏感信息做分级管理不是所有员工都能看到全部客户数据对门禁区域要求“一人一卡、尾随便拦”把物理入口也当成防线的一部分。考试遇到社会工程学场景题最快的判断方法是找关键词。邮件批量群发、话术通用多半是钓鱼邮件内容明确提到你的职位和最近做的事多半是鱼叉式钓鱼收件人明确锁定了CEO或财务总监就是鲸钓攻击者提前污染了某类人群常访问的网站就是水坑攻击。掌握了特征词这类题基本属于送分题。4. 网络层攻击流量里的窃听与阻断4.1 DoS与DDoS不讲武德的“堵门”拒绝服务攻击不追求攻破系统而是追求让系统“没法干活”。想象一家便利店只有一个门几百人同时涌过去堵在门口真正想买东西的人根本进不去这就是拒绝服务的精髓。DoS来自单一攻击源DDoS则来自成百上千个被控制的僵尸主机或者大型反射节点优势在于很难通过封禁一个IP解决因为流量来源太多了。常见手法在协议层面就能看懂。SYN Flood是滥用三次握手攻击者发送大量伪造来源的半连接请求服务器傻傻地等握手完成连接表被占满后正常用户连不上。放大攻击则是利用某些公网服务的特点攻击者发一小段查询流量服务端把一大段响应倒给受害者攻击者相当于白嫖带宽受害者直接被流量淹没。这类攻击难防是因为流量已经打到了门口你很难在网络边缘立刻分清哪个请别人、哪个是真客户。防御思路也因此清晰流量清洗服务在机房门口把异常流量过滤掉防火墙上做速率限制业务侧保留容量冗余并配合负载均衡分散压力。平时就要建立正常流量基线哪段时间访问量异常暴涨告警系统才能快速拉响。4.2 中间人攻击在客户端和服务端之间夹一个“我”中间人攻击的形象比喻是你寄了一个快递负责运输的快递员半路把包裹拆开看过再重新封好甚至干脆替换成一个假包裹而你毫不知情。攻击者凭借“处在通信链路的某个中间位置”就能窃听、篡改甚至伪造消息。几种常见实现方式在考试里出现频率很高。ARP欺骗发生在局域网内部攻击者不断告诉其他主机“我是网关”让本来送往路由器的流量先绕道到自己这里来相当于在宿舍楼里假冒了整栋楼的收发室。DNS欺骗则是污染域名解析结果把你访问的域名指向攻击者搭建的假服务器你输了密码密码就到了攻击者手里。会话劫持是等合法用户登录拿到会话标识后攻击者偷过来直接冒用身份省去登录过程。重放攻击则是把抓到的认证信息原封不动再发一遍比如抓到一张旧门禁卡的数据第二天再用一次。一个常见误区是“只要上了HTTPS中间人攻击就完全失效”。加密其实只保证了“传输过程中包裹不好拆”但如果没有确认收件人身份DNS欺骗仍然可能让你连到攻击者做的假站点如果用户忽略证书警告加密通道照样被中间人打通。所以真正重要的是双向认证不仅客户端验证服务器服务器也验证客户端凭证同时配合证书校验机制才能缩小中间人活动空间。4.3 防御者视角流量里写满了线索实际工作中我们很难“看见”攻击者但能看见流量异常。主机数量固定的办公网络某台机器突然每分钟连接几百个不同IP这就是感染僵尸程序或蠕虫的典型信号。内网里同时出现大量ARP广播属于ARP欺骗的前兆。这些观察依赖流量监控和日志审计而不依赖玄学。另一个实用思路是网络分段。把财务系统、办公网络、公共服务放在不同网段即使攻击者通过了入口也走不到核心区域。加上IDS和IPS在关键节点监测、拦截恶意流量就构成了纵深防御里非常靠前的两道关卡。学习这一节时我建议把每个攻击手法和“你会在网络里看到什么”对应起来这样记下来的不是名词而是排查线索。5. 应用层攻击注入、脚本与身份绕过5.1 注入攻击把代码塞进输入框应用层攻击和服务器的软件逻辑直接相关其中注入类是考试和实战的重头戏。拿SQL注入举例应用会把用户输入拼进数据库查询语句里如果输入没有被当成纯数据而是被当成代码执行一个文本框就可能变成攻击者的执行面板。它的危害取决于数据库里有什么客户名单、订单记录、账号密码哈希全都可能被拖走。应对思路的核心只有一句话把数据和代码分开。后端处理时使用参数化查询让输入永远只作为参数传递而不是被拼进SQL语句结构里对用户输入做白名单校验只允许符合预期的字符数据库账号禁用高权限运行就算注入发生攻击者也没法顺手执行管理员操作。命令注入的原理类似只是把目标从数据库换成了操作系统命令输入验证和白名单依然是第一道防线。5.2 XSS与CSRF浏览器里的小动作跨站脚本攻击的本质是“让别人的浏览器执行我的脚本”。攻击者找到一个存在输出漏洞的页面把恶意脚本作为内容提交进去其他用户访问时脚本就在他们浏览器里跑起来可能偷走Cookie、改写页面内容甚至以受害者身份发起操作。按持久性分三类存储型XSS把脚本存进数据库发给所有人反射型XSS通过链接参数当场弹回DOM型XSS则完全在前端节点用真实工具在指定DOM元素中渲染文本。防御XSS要同时在入口和出口加两道闸输入侧做编码校验输出侧做上下文感知编码让脚本无法被当作可执行代码再加上内容安全策略限制浏览器只能加载可信源脚本就算恶意代码注入成功也跑不起来。与XSS经常成对出现的CSRF则是另一套思路——攻击者不需要读到你的数据只需要让你的浏览器替自己发一个请求。比如你已登录某后台攻击者诱导你打开一个恶意页面这个页面偷偷向后台发了一个“修改密码”的请求浏览器因为携带了你的会话Cookie服务器就会以为是本人操作。防御要点是给每个敏感请求绑定一次性Token并校验请求来源同时给会话Cookie加上同站属性让跨站请求根本带不上身份凭证。5.3 密码攻击从字典到彩虹表再到撞库密码攻击是另一个高频考点。暴力破解穷举所有可能组合理论一定能解但时间成本随长度指数上升字典攻击用一份高频密码清单做试探利用的是“人类天生喜欢用弱口令”这一事实彩虹表通过预计算大量明文的哈希值来加速破解空间换时间撞库则是拿A平台泄露的账号密码批量尝试B平台很多人多平台共用一个密码导致一处泄露处处爆雷。打击这些攻击需要组合拳。服务端存储密码必须做加盐哈希盐让每个用户哪怕密码相同哈希也不同彩虹表直接失效登录接口要限速和锁定防止暴力破解无限试探只要是重要系统就强制多因素认证让“知道密码”不再等于“能登录”。对个人而言密码管理器加不同平台不同口令是成本最低也最有效的自我保护毕竟撞库这种事账号数量越多中招概率越大。5.4 权限提升拿到合法账号后的下一步权限提升是很多攻击的“第二幕”攻击者已经通过某个低权限账号进了系统下一步就是往上升。垂直提权是把自己从普通用户升到管理员比如利用操作系统的漏洞或配置错误拿到管理员权限水平提权则是越权访问同等级其他用户的资源比如一个普通员工账号偏偏可以读取另一个普通员工的工资单。防御思路从“账号该有多大权利”出发。最小权限原则意味着只给完成工作所必需的最小权限管理操作必须和管理账号解绑日常工作账号不配管理员组成员资格权限发放后定期审计长期不用的高权限账号要及时回收。权限这东西给出去容易收回来难但攻击者恰恰最喜欢那些被遗忘了的高权限账号。6. 从笔记到考试场景判断题的三步甄别法6.1 拿到场景题先问三个问题Security考试很爱给一个具体场景让你判断攻击类型这也是很多人失分的地方。我总结了一套三步甄别法。第一步看攻击的入口在哪里——是人、是网络、是应用、还是物理环境。第二步看攻击者的核心行为——是在诱骗人、在改动流量、在篡改数据库还是在伪造身份。第三步把这组“入口行为”套进攻击类型特征表里。举几个例子就能看出来。情境是“某员工在办公楼门口帮一个自称忘带工牌的人刷了门禁随后这个区域多台电脑异常外联”——入口是物理行为是骗取信任判断尾随。情境是“财务总监收到一封自称CEO的邮件称紧急并购要求向指定账户汇款用词紧迫且无法当面确认”——入口是高权限人员行为是身份仿冒判断鲸钓。情境是“内网主机大量对外发起异常连接CPU占用极高且无需用户操作即可扩散”——入口是网络行为是自主复制判断蠕虫。三步走下来大部分场景题的正确率能稳定上一个台阶。6.2 威胁情报把攻击笔记变成可排查的线索攻击类型的笔记不应该只用来应付考试还能直接对应到实际运营里的威胁情报工作。现在很多安全团队会订阅外部威胁情报源里面讲的不只是“有一种攻击叫XSS”而是具体的入侵指标恶意域名、恶意IP、恶意文件哈希、攻击工具特征。把这些指标放到自己的日志里做匹配就能在没有明显告警时提前发现威胁蛛丝马迹。更高一层的概念是TTP也就是攻击者的战术、技术与过程。比如看报告时发现某攻击者常用钓鱼邮件投递恶意宏文档最终落地勒索软件映射到笔记里就是“入口是人的鱼叉式钓鱼手段是宏病毒结果是勒索软件加密”。当你习惯把攻击类型纳入这种“端点—手法—影响”链条去理解学习笔记就不只是知识清单而是可以用来做防御设计的参考手册。6.3 我的电子表格式攻击清单最后分享一个我一直在用的复习工具。每学一种攻击我都往一张表里填几列攻击名称、攻击入口、关键行为、关键特征、防御要点、易混淆点。只填关键词不抄长篇定义。攻击名称入口关键特征防御要点鱼叉式钓鱼人特定目标定制话术、仿冒可信对象邮件过滤、发件人核验、模拟演练ARP欺骗局域网网络大量ARP响应、流量异路径端口安全、加密协议、网络分段SQL注入应用输入输入改变查询逻辑参数化查询、白名单、最小数据库权限每天抽十分钟随机抽三行不看笔记用一句话把每行内容解释给别人听解释不出来就再翻一遍。这种做法的效果比我反复通读笔记好很多因为它逼着脑子在主动回忆而不是被动认识。复习到后期这张表越来越短我记得越来越牢。整理完这份笔记我最大的体会是攻击名称只是表象真正重要的是“它从哪里切入改变了什么哪层防御能拦住它”。现在再看到一个陌生的攻击名词我不会先紧张而会先问入口在哪、行为是什么、对应哪道防线。这三问问清楚考场上的场景题不慌日常工作里排查异常也多了一根清晰的线索。下一篇我打算整理安全防御工具和清单如果你也在备考Security建议把这篇笔记里的攻击类型和实际遇到的安全事件做对照效果远好过单纯背定义。
备考Security的时候我第一遍看“常见网络攻击”这一章最大的障碍不是看不懂而是记不住今天背下钓鱼明天就把水坑攻击忘了上午还能分清DoS和DDoS下午一遇到中间人攻击又开始发懵。Security学习笔记走到第五篇前面几篇把网络基础、加密基础和身份访问管理大致铺了一遍这一篇终于要直面最热闹的部分——攻击。网上关于攻击的名词非常多有些你已经听过无数遍比如病毒、木马、钓鱼有些则长得极其相似比如鱼叉式钓鱼和鲸钓比如重放攻击和中间人攻击。这篇笔记要做的不是把每个词抄一遍而是把所有常见攻击放到一张“攻击视角”地图里把“它们长什么样、为什么能成功、站在防守方该盯哪里”讲清楚。1. 先给攻击分个类别急着背先搭框架1.1 三个观察维度入口、手段、结果任何一个攻击都可以从三个角度来看。这不是唯一的分类方法但用来做学习笔记非常顺手因为它能帮你在看到一个陌生攻击名词时不慌。第一看入口攻击者从哪里进来大致落在四类通过网络发起的流量攻击、针对应用程序的请求攻击、针对人的诱导欺骗、以及针对物理环境的接触攻击。第二看手段攻击者在做什么是偷偷看、悄悄改、还是干脆让人看不见第三看结果伤害落在CIA三元组里的哪个属性上攻击结果对应属性直观理解机密性被破坏Confidentiality不该看到的数据被人看到了完整性被破坏Integrity数据被静悄悄篡改没被察觉可用性被破坏Availability服务直接瘫掉谁都访问不了大多数攻击并不是只命中一个属性。比如钓鱼邮件诱导用户打开宏文档、植入勒索软件入口是人手段是诱骗最终结果既破坏可用性文件被加密无法使用又破坏完整性文件内容被改写。所以这组维度更像一个观察框架而不是非要对号入座的分类标准。1.2 我整理笔记的顺序先认人再看路最后看房子本身这章知识点很杂我一开始试图按字母序排结果越记越乱。后来换了一种方式把攻击想象成一次入侵过程。先认识“敌人名单”也就是恶意软件家族都有哪些成员再看在动手之前攻击者如何利用人的弱点也就是社会工程学接着看流量在网络里经过时能被人做什么手脚这是网络层攻击最后看服务本身写得不够安全时应用层会出现哪些窟窿。按这个顺序整理下来整个章节就有了故事感每个攻击类型都能被装进“入口——手段——结果”的框架里复习的时候相当于在脑子里重放一遍攻击路径。2. 恶意软件别再说“不就是病毒吗”2.1 病毒、蠕虫、木马用“要不要宿主”来记很多人把所有恶意软件都叫病毒但考试和实际工作中并不会这么粗暴归类。判断恶意软件类型我习惯用三个问题来问它需要附着在其他文件上才能活吗会不会自己感染自己地到处传播长得像不像一个正常程序这三个问题一出来几类常见恶意软件就分开了。恶意软件类型是否依赖宿主是否自主传播典型行为病毒依赖附着在文件或宏中需要用户触发潜伏在文档、可执行文件里激活后感染其他文件蠕虫不依赖自主传播利用漏洞在网络中自我复制速度极快木马伪装成正常软件不自主传播需要用户主动安装装乖引诱下载装好后暴露后门间谍软件可独立运行视变种而定静默记录按键、屏幕、行为习惯勒索软件可独立运行视变种而定加密数据、索要赎金僵尸程序可独立运行由控制端下发指令被远程控制参与DDoS、群发垃圾流量用“要不要宿主”这个维度来记是最快的。病毒像寄生生物必须靠宿主文件存活用户不打开带宏的文档它就动不了蠕虫则完全不需要搭便车它会自己找门缝钻过去所以爆发往往特别突然而木马走的是“你请我进来”的路线它把自己打扮成一个正常软件等你亲手双击。记清楚这三者的区别选择题照妖镜一样好用。2.2 勒索软件为什么最难防加密加心理双重打击勒索软件近几年能成为主角原因其实很直白它把技术和人性绑在了一起。攻击者不一定技术多高只要把数据加密让业务停摆再抛出“给钱就恢复”的筹码受害者就会陷入巨大的恢复压力和心理恐慌。我在梳理防范思路时发现真正有效的不是某款杀毒软件而是三件朴素的事。离线备份要真正做到“能回滚”不只备份一次还要定期演练恢复流程否则到了关键时刻才发现备份数据也已经不可用那比不备份更崩溃。最小权限原则要落地大部分业务根本不需要管理员权限跑日常操作权限越小勒索软件可加密的范围就越小。邮件附件和宏的入口要收紧很多勒索软件都是通过伪造发票、压缩包附件进来的来自不明发件人的附件不要直接开。有一点我需要单独拿出来说遇到勒索软件第一反应不应该是交赎金。先确认备份是否可用、事件是否上报、样本是否留存这些才是真正能止损的动作。交赎金意味着你默认了“数据只能靠对方恢复”而攻击者收了钱不一定守信用这件事在安全圈里已经是共识了。2.3 识别恶意软件的实操检查备考阶段容易忽略的一点是恶意软件不仅是概念也是真实环境里可以被观察到的东西。我在整理笔记时给自己列了一个检查清单。进程层面一台机器CPU居高不下、内存异常增长常见于挖矿程序或蠕虫传播。网络层面主机频繁向陌生域名发起外联典型于间谍软件和僵尸程序。文件层面大量文件被改名、后缀变成不可识别格式基本就是勒索软件爆发。哈希校验给可疑样本算一次哈希值放到威胁情报源里对比可以快速确认它是不是已知恶意软件。沙箱执行需要鉴定样本行为时放到隔离环境里跑一圈看它访问了什么、改了什么再做判定。考试很少直接考“如何分析样本”但很喜欢用现象反推类型。比如题目说“某个程序把自己附加在Office文档宏里靠用户打开触发”答案基本锁定病毒“某个程序无需用户操作就通过漏洞不断感染其它主机”这是蠕虫“某个软件外观是实用小工具装上后却打开远程控制端口”这是木马。把特征和类型精确连起来比死背十个定义强得多。3. 社会工程学攻击者的真正目标是人3.1 钓鱼家族从广撒网到精准投喂社会工程学攻击本质上不是技术问题而是心理学问题。Security考纲里最密集出现的就是钓鱼家族它们核心都是骗人但“骗谁”和“怎么骗”差别很大。钓鱼是广撒网式的攻击者批量发送仿冒邮件或短信话术要么是中奖通知、要么是系统升级只要有一两个上钩就算成功。鱼叉式钓鱼则是精准投喂攻击者先做了功课知道你是财务、你是HR、你是系统管理员然后定制一封看起来特别像同事来信的内容。鲸钓则更直接专挑高管、拥有财务权限的大鱼下手话术往往是“紧急付款”“合同变更”这类需要马上决策的场景。除此以外还有两类变种值得注意水坑攻击是攻击者攻陷目标人群常访问的网站在页面里埋入恶意代码等人自己踩进来语音钓鱼和短信钓鱼则是换渠道继续玩同一套骗术一个打电话冒充客服套验证码一个发短信引导点链接。3.2 线下的小动作尾随、肩窥、垃圾搜寻、借口欺骗网络安全考试不会只考线上攻击物理层面的社会工程学同样是重点。尾随是跟着已授权的人一起通过门禁门开了你顺势进去这在大门进出、高峰期尤其常见。肩窥是站在旁边偷看你输入的密码或屏幕内容在咖啡厅、机场、开放工位都可能发生。垃圾搜寻是攻击者去翻打印废纸、外包装、便利贴从中拼出账号名和员工信息。借口欺骗则是编造一个看似合理的理由比如假装修理工给前台打电话说“我需要机房密码更新系统”其实只是为了套取访问权限。还有一种诱饵攻击故意丢一个U盘在停车场或前台等人出于好奇捡起插进电脑。这些手法单看都很简单但它们擅长组合。比如某攻击者先尾随一名员工进入办公区站在身后肩窥到手提电脑的开机密码再假扮成IT外包人员以维护名义索要一个数据库备份账号。每一步单独看都不算离谱连在一起就成了一次完整渗透。3.3 防线的关键不是工具是习惯技术手段很难完全挡住社会工程学因为攻击者骗的不是机器是人。提升抵抗力要靠可复用的习惯。看邮件先看发件人域名仿冒邮箱和真实邮箱往往只有一个字母的差别。链接先悬停不急着点看URL的文字旁边浮出来的真实地址才知道自己被引导去哪里。验证码和转账信息一律不提供给主动来电方真正的企业不会突然急迫地索要这些。企业侧也有成熟做法。定期做模拟钓鱼演练比讲课管用因为这能在员工真实犯错时给出反馈对敏感信息做分级管理不是所有员工都能看到全部客户数据对门禁区域要求“一人一卡、尾随便拦”把物理入口也当成防线的一部分。考试遇到社会工程学场景题最快的判断方法是找关键词。邮件批量群发、话术通用多半是钓鱼邮件内容明确提到你的职位和最近做的事多半是鱼叉式钓鱼收件人明确锁定了CEO或财务总监就是鲸钓攻击者提前污染了某类人群常访问的网站就是水坑攻击。掌握了特征词这类题基本属于送分题。4. 网络层攻击流量里的窃听与阻断4.1 DoS与DDoS不讲武德的“堵门”拒绝服务攻击不追求攻破系统而是追求让系统“没法干活”。想象一家便利店只有一个门几百人同时涌过去堵在门口真正想买东西的人根本进不去这就是拒绝服务的精髓。DoS来自单一攻击源DDoS则来自成百上千个被控制的僵尸主机或者大型反射节点优势在于很难通过封禁一个IP解决因为流量来源太多了。常见手法在协议层面就能看懂。SYN Flood是滥用三次握手攻击者发送大量伪造来源的半连接请求服务器傻傻地等握手完成连接表被占满后正常用户连不上。放大攻击则是利用某些公网服务的特点攻击者发一小段查询流量服务端把一大段响应倒给受害者攻击者相当于白嫖带宽受害者直接被流量淹没。这类攻击难防是因为流量已经打到了门口你很难在网络边缘立刻分清哪个请别人、哪个是真客户。防御思路也因此清晰流量清洗服务在机房门口把异常流量过滤掉防火墙上做速率限制业务侧保留容量冗余并配合负载均衡分散压力。平时就要建立正常流量基线哪段时间访问量异常暴涨告警系统才能快速拉响。4.2 中间人攻击在客户端和服务端之间夹一个“我”中间人攻击的形象比喻是你寄了一个快递负责运输的快递员半路把包裹拆开看过再重新封好甚至干脆替换成一个假包裹而你毫不知情。攻击者凭借“处在通信链路的某个中间位置”就能窃听、篡改甚至伪造消息。几种常见实现方式在考试里出现频率很高。ARP欺骗发生在局域网内部攻击者不断告诉其他主机“我是网关”让本来送往路由器的流量先绕道到自己这里来相当于在宿舍楼里假冒了整栋楼的收发室。DNS欺骗则是污染域名解析结果把你访问的域名指向攻击者搭建的假服务器你输了密码密码就到了攻击者手里。会话劫持是等合法用户登录拿到会话标识后攻击者偷过来直接冒用身份省去登录过程。重放攻击则是把抓到的认证信息原封不动再发一遍比如抓到一张旧门禁卡的数据第二天再用一次。一个常见误区是“只要上了HTTPS中间人攻击就完全失效”。加密其实只保证了“传输过程中包裹不好拆”但如果没有确认收件人身份DNS欺骗仍然可能让你连到攻击者做的假站点如果用户忽略证书警告加密通道照样被中间人打通。所以真正重要的是双向认证不仅客户端验证服务器服务器也验证客户端凭证同时配合证书校验机制才能缩小中间人活动空间。4.3 防御者视角流量里写满了线索实际工作中我们很难“看见”攻击者但能看见流量异常。主机数量固定的办公网络某台机器突然每分钟连接几百个不同IP这就是感染僵尸程序或蠕虫的典型信号。内网里同时出现大量ARP广播属于ARP欺骗的前兆。这些观察依赖流量监控和日志审计而不依赖玄学。另一个实用思路是网络分段。把财务系统、办公网络、公共服务放在不同网段即使攻击者通过了入口也走不到核心区域。加上IDS和IPS在关键节点监测、拦截恶意流量就构成了纵深防御里非常靠前的两道关卡。学习这一节时我建议把每个攻击手法和“你会在网络里看到什么”对应起来这样记下来的不是名词而是排查线索。5. 应用层攻击注入、脚本与身份绕过5.1 注入攻击把代码塞进输入框应用层攻击和服务器的软件逻辑直接相关其中注入类是考试和实战的重头戏。拿SQL注入举例应用会把用户输入拼进数据库查询语句里如果输入没有被当成纯数据而是被当成代码执行一个文本框就可能变成攻击者的执行面板。它的危害取决于数据库里有什么客户名单、订单记录、账号密码哈希全都可能被拖走。应对思路的核心只有一句话把数据和代码分开。后端处理时使用参数化查询让输入永远只作为参数传递而不是被拼进SQL语句结构里对用户输入做白名单校验只允许符合预期的字符数据库账号禁用高权限运行就算注入发生攻击者也没法顺手执行管理员操作。命令注入的原理类似只是把目标从数据库换成了操作系统命令输入验证和白名单依然是第一道防线。5.2 XSS与CSRF浏览器里的小动作跨站脚本攻击的本质是“让别人的浏览器执行我的脚本”。攻击者找到一个存在输出漏洞的页面把恶意脚本作为内容提交进去其他用户访问时脚本就在他们浏览器里跑起来可能偷走Cookie、改写页面内容甚至以受害者身份发起操作。按持久性分三类存储型XSS把脚本存进数据库发给所有人反射型XSS通过链接参数当场弹回DOM型XSS则完全在前端节点用真实工具在指定DOM元素中渲染文本。防御XSS要同时在入口和出口加两道闸输入侧做编码校验输出侧做上下文感知编码让脚本无法被当作可执行代码再加上内容安全策略限制浏览器只能加载可信源脚本就算恶意代码注入成功也跑不起来。与XSS经常成对出现的CSRF则是另一套思路——攻击者不需要读到你的数据只需要让你的浏览器替自己发一个请求。比如你已登录某后台攻击者诱导你打开一个恶意页面这个页面偷偷向后台发了一个“修改密码”的请求浏览器因为携带了你的会话Cookie服务器就会以为是本人操作。防御要点是给每个敏感请求绑定一次性Token并校验请求来源同时给会话Cookie加上同站属性让跨站请求根本带不上身份凭证。5.3 密码攻击从字典到彩虹表再到撞库密码攻击是另一个高频考点。暴力破解穷举所有可能组合理论一定能解但时间成本随长度指数上升字典攻击用一份高频密码清单做试探利用的是“人类天生喜欢用弱口令”这一事实彩虹表通过预计算大量明文的哈希值来加速破解空间换时间撞库则是拿A平台泄露的账号密码批量尝试B平台很多人多平台共用一个密码导致一处泄露处处爆雷。打击这些攻击需要组合拳。服务端存储密码必须做加盐哈希盐让每个用户哪怕密码相同哈希也不同彩虹表直接失效登录接口要限速和锁定防止暴力破解无限试探只要是重要系统就强制多因素认证让“知道密码”不再等于“能登录”。对个人而言密码管理器加不同平台不同口令是成本最低也最有效的自我保护毕竟撞库这种事账号数量越多中招概率越大。5.4 权限提升拿到合法账号后的下一步权限提升是很多攻击的“第二幕”攻击者已经通过某个低权限账号进了系统下一步就是往上升。垂直提权是把自己从普通用户升到管理员比如利用操作系统的漏洞或配置错误拿到管理员权限水平提权则是越权访问同等级其他用户的资源比如一个普通员工账号偏偏可以读取另一个普通员工的工资单。防御思路从“账号该有多大权利”出发。最小权限原则意味着只给完成工作所必需的最小权限管理操作必须和管理账号解绑日常工作账号不配管理员组成员资格权限发放后定期审计长期不用的高权限账号要及时回收。权限这东西给出去容易收回来难但攻击者恰恰最喜欢那些被遗忘了的高权限账号。6. 从笔记到考试场景判断题的三步甄别法6.1 拿到场景题先问三个问题Security考试很爱给一个具体场景让你判断攻击类型这也是很多人失分的地方。我总结了一套三步甄别法。第一步看攻击的入口在哪里——是人、是网络、是应用、还是物理环境。第二步看攻击者的核心行为——是在诱骗人、在改动流量、在篡改数据库还是在伪造身份。第三步把这组“入口行为”套进攻击类型特征表里。举几个例子就能看出来。情境是“某员工在办公楼门口帮一个自称忘带工牌的人刷了门禁随后这个区域多台电脑异常外联”——入口是物理行为是骗取信任判断尾随。情境是“财务总监收到一封自称CEO的邮件称紧急并购要求向指定账户汇款用词紧迫且无法当面确认”——入口是高权限人员行为是身份仿冒判断鲸钓。情境是“内网主机大量对外发起异常连接CPU占用极高且无需用户操作即可扩散”——入口是网络行为是自主复制判断蠕虫。三步走下来大部分场景题的正确率能稳定上一个台阶。6.2 威胁情报把攻击笔记变成可排查的线索攻击类型的笔记不应该只用来应付考试还能直接对应到实际运营里的威胁情报工作。现在很多安全团队会订阅外部威胁情报源里面讲的不只是“有一种攻击叫XSS”而是具体的入侵指标恶意域名、恶意IP、恶意文件哈希、攻击工具特征。把这些指标放到自己的日志里做匹配就能在没有明显告警时提前发现威胁蛛丝马迹。更高一层的概念是TTP也就是攻击者的战术、技术与过程。比如看报告时发现某攻击者常用钓鱼邮件投递恶意宏文档最终落地勒索软件映射到笔记里就是“入口是人的鱼叉式钓鱼手段是宏病毒结果是勒索软件加密”。当你习惯把攻击类型纳入这种“端点—手法—影响”链条去理解学习笔记就不只是知识清单而是可以用来做防御设计的参考手册。6.3 我的电子表格式攻击清单最后分享一个我一直在用的复习工具。每学一种攻击我都往一张表里填几列攻击名称、攻击入口、关键行为、关键特征、防御要点、易混淆点。只填关键词不抄长篇定义。攻击名称入口关键特征防御要点鱼叉式钓鱼人特定目标定制话术、仿冒可信对象邮件过滤、发件人核验、模拟演练ARP欺骗局域网网络大量ARP响应、流量异路径端口安全、加密协议、网络分段SQL注入应用输入输入改变查询逻辑参数化查询、白名单、最小数据库权限每天抽十分钟随机抽三行不看笔记用一句话把每行内容解释给别人听解释不出来就再翻一遍。这种做法的效果比我反复通读笔记好很多因为它逼着脑子在主动回忆而不是被动认识。复习到后期这张表越来越短我记得越来越牢。整理完这份笔记我最大的体会是攻击名称只是表象真正重要的是“它从哪里切入改变了什么哪层防御能拦住它”。现在再看到一个陌生的攻击名词我不会先紧张而会先问入口在哪、行为是什么、对应哪道防线。这三问问清楚考场上的场景题不慌日常工作里排查异常也多了一根清晰的线索。下一篇我打算整理安全防御工具和清单如果你也在备考Security建议把这篇笔记里的攻击类型和实际遇到的安全事件做对照效果远好过单纯背定义。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
