黑客攻击技术详细解析 & 评测(防御向)

黑客攻击技术详细解析 & 评测(防御向)

一、攻击分类总览

主流攻击分为 5 大类：Web 应用层攻击、网络层 / 协议攻击、终端恶意代码攻击、身份欺骗类攻击、供应链与社会工程攻击。下面逐个拆解原理、攻击难度、危害、检出难度、防御方案。

二、Web 应用层攻击(OWASP Top 核心，企业最常中招)

1. SQL 注入(SQLi)

原理：后端代码没有对用户输入做过滤，攻击者在输入框、参数里插入 SQL 语句，直接操纵数据库。比如登录框输入构造语句绕过密码校验、拖库、删改数据腾讯云。

难度：低～中，网上 payload 多，自动化扫描工具容易发现

危害：极高，整库泄露(手机号、账号、订单、身份证)

检出难度：中等;简单注入 WAF 能拦截，盲注、二次注入隐蔽性强

防御：参数化预编译语句、输入过滤、最小权限数据库账号、关闭数据库错误回显、WAF

短板：现在成熟框架(MyBatis、ORM)默认规避，老旧自研站点才高发

2. XSS 跨站脚本攻击

分三类：存储型(持久 XSS，留言板、评论区存恶意 JS，所有人访问都触发)、反射型(点开恶意链接临时执行)、DOM 型(前端 JS 直接渲染，不经过后端，WAF 很难拦截)原理：注入 JS，在受害者浏览器执行，偷 Cookie 会话、劫持账号、跳转钓鱼、弹窗诱导下载木马OWASP。

难度：低

危害：中高，适合偷会话、账号劫持

检出难度：DOM-XSS 最难，传统 WAF 容易漏

防御：输出编码、CSP 内容安全策略、Cookie 设置 HttpOnly

3. CSRF 跨站请求伪造

原理：利用用户已经登录的 Cookie，诱导用户在已登录状态访问恶意页面，自动在目标网站发起请求(改密码、下单、转账)。网站没有校验请求是不是用户主动发起。

难度：低

危害：中等，一般配合钓鱼使用

防御：Token 令牌、校验 Referer、二次验证码

4. 文件上传漏洞

原理：上传功能没有校验后缀、文件头，上传 php/asp/jsp 脚本，服务器直接解析执行，拿到服务器权限(一句话木马)。

难度：低

危害：极高，直接拿下服务器控制权

防御：白名单后缀、文件重命名、单独文件存储服务器不解析脚本

5. 目录遍历(路径穿越 ../)

原理：输入../向上跳转目录，读取服务器任意敏感文件，如配置文件、密钥、账号密码文件。

难度：很低

危害：中

三、网络层攻击(DDoS、中间人、ARP 欺骗)

1. DDoS 分布式拒绝服务

分三大子类： 1)流量洪水(UDP、ICMP 洪水)：打满带宽; 2)协议洪水(SYN 洪水)：耗尽服务器 TCP 连接资源; 3)应用层 CC 攻击：模拟正常用户高频访问接口、查询数据库，耗尽 CPU / 数据库资源，最难防御。攻击者靠僵尸网络(肉鸡、被控制设备)分布式发包，溯源困难;还有反射放大攻击(DNS/NTP 放大，小请求换超大流量)东北师范大...。

难度：低(现在有现成压力测试平台、僵尸网络租赁黑产)

危害：业务瘫痪、企业敲诈勒索

检出难度：流量型容易识别;CC 模拟正常访问，和真实用户几乎无差别，识别成本很高

防御：高防 IP、流量清洗、CDN、验证码、接口限流、人机验证

2. 中间人攻击 MitM

原理：劫持通信链路，拦截、偷看、篡改双向数据。公共 WiFi 下典型：ARP 欺骗，把网关流量转发到攻击者电脑。HTTPS 如果证书校验不严、安装恶意根证书，SSL 也会被解密。

难度：中等，局域网内更容易实施

危害：窃取聊天、账号、支付报文

防御：全站 HTTPS、证书强校验、不连陌生公共 WiFi 做敏感操作

3. ARP 欺骗(局域网内)

原理：伪造 ARP 响应，篡改局域网设备的 ARP 缓存，把网关流量导向攻击者主机。仅限同一个内网。

难度：低，工具成熟

防御：ARP 静态绑定、内网安全网关、802.1X 认证

四、身份与密码类攻击

1. 暴力破解 / 字典破解 / 彩虹表

暴力：逐个密码尝试;字典：用泄露密码库、常用密码;彩虹表：预计算哈希表，快速反查 MD5 等哈希密码。针对 SSH、后台管理、数据库、FTP、邮箱。

难度：低

危害：高，弱密码是头号入口

防御：密码复杂度、失败次数锁定、MFA 二次验证、禁止弱口令、异地登录告警

2. 凭证填充(Credential Stuffing)

黑产把别的网站泄露的账号密码，批量尝试登录其他平台(很多用户密码复用)，不是猜密码，是撞库。现在黑产最高发的入侵方式之一。

难度：低，自动化脚本批量跑

防御：MFA、异常设备 / 异地风控、密码复用检测

五、恶意代码类：木马、勒索病毒、挖矿程序

勒索软件(当前企业头号威胁)

传播路径：钓鱼邮件附件、漏洞利用(永恒之蓝这类)、内网横向移动;加密服务器 / 电脑文档，索要比特币赎金;很多附带数据泄露威胁(双重勒索：不付钱就公开数据)。

难度：中等，漏洞利用版门槛低，定制勒索家族门槛高

危害：极高，业务停滞、核心资料永久丢失

防御：定期离线备份、补丁更新、邮件沙箱、终端 EDR 杀毒、权限最小化

远控木马 RAT

拿到终端控制权，屏幕监控、文件窃取、开启摄像头、作为肉鸡加入僵尸网络。

难度：低，生成工具泛滥

挖矿木马

占用 CPU/GPU 资源，后台挖虚拟币，不破坏文件，隐蔽性强，很多企业很久才发现。

六、社会工程 & 钓鱼攻击(成功率最高、技术门槛最低)

很多时候不用任何漏洞，人是最大短板

邮件钓鱼：仿冒老板、财务、服务商，诱导点链接、下载附件、转账;

短信钓鱼(Smishing)：仿冒运营商、银行、快递;

语音钓鱼 Vishing;

冒充运维、厂商客服索要账号密码、远程协助。

难度：极低

成功率：所有攻击里最高

防御：全员安全培训、邮件网关沙箱、付款二次复核、不随意远程、核验身份渠道独立

七、高阶攻击：供应链攻击、0day、横向移动

供应链攻击：污染第三方插件、开源组件、外包服务商，下游所有客户中招(比如污染 NPM 包、软件更新投毒)。特点：打击面极大，隐蔽周期极长;防御：软件成分分析 SCA、开源漏洞扫描。

0day 漏洞：厂商还不知道、没有补丁的漏洞，价值极高，一般在黑市交易;难度极高，需要逆向、源码审计能力，多由专业黑客团队、APT 组织使用。

内网横向移动：拿下一台机器之后，继续在内网漫游，拿下域控、核心服务器，是 APT 长期潜伏的标准路径。

八、横向评测对比总表(文字版无表格)

钓鱼 / 社会工程：门槛最低，成功率最高，技术弱，靠欺骗;防御重点是人

凭证填充、弱口令爆破：门槛低，黑产规模化批量跑，适合批量扫账号

SQL 注入、XSS、文件上传：门槛低，Web 历史经典漏洞，成熟扫描器可批量发现

ARP 欺骗、中间人：仅限局域网，公共互联网很难

DDoS 流量攻击：门槛低，花钱就能买，代价是业务瘫痪;CC 应用层攻击最难防

勒索病毒：中等门槛，破坏力最强，中小企业损失最重

0day、APT、供应链攻击：门槛极高，国家级、专业黑产团队，目标大企业、政府

九、学习路线(合规方向：白帽渗透)

合法学习路径：

搭建本地靶场：DVWA、WebGoat、Vulhub，只在自己电脑里测试;

学习 OWASP Top10，理解漏洞原理;

考取合规证书：CEH、CISSP、CISP、OSCP;

去厂商 SRC 漏洞平台提交漏洞(补天、CNVD、各大厂商安全响应中心)，提交漏洞拿奖励，这是国内白帽正规路线; ❌ 禁止：网上找网站、IP 随便扫、尝试入侵练习。

十、企业防御分层思路

边界层：防火墙、高防、WAF、CDN;

应用层：代码审计、SCA 开源组件扫描、定期渗透测试(授权);

终端层：EDR、杀毒、补丁管理、备份;

身份层：MFA、最小权限、账号风控;

人员层：钓鱼演练、安全培训。