Leroy

一、网络攻击到底在攻击什么？

很多人一听到“网络攻击”，会下意识想到黑客坐在电脑前“破解密码”“入侵服务器”。但从安全视角看，网络攻击并不只是“偷东西”，它通常围绕三个目标展开：

因此，网络攻击可以粗略理解为三类：

1. 偷你的东西：账号、密码、数据、文件、隐私。
2. 改你的东西：网页内容、数据库记录、权限配置、路由解析。
3. 让你的东西不能用：网站打不开、系统瘫痪、文件被加密、业务中断。

DDoS 攻击属于第三类，它不一定窃取数据，但会让服务不可用。

二、DDoS 攻击：不是偷数据，而是把服务“挤爆”

DDoS 的全称是 Distributed Denial of Service Attack，中文叫 分布式拒绝服务攻击。

简单说，就是攻击者控制大量设备，同时向某个网站、服务器、App 或网络服务发送海量请求，把目标资源耗尽，使正常用户无法访问。

可以把它理解成：

一家餐厅本来只能接待 100 位客人，攻击者却安排 10 万个“假客人”同时排队、占座、点单。真正想吃饭的人进不去，餐厅也被拖垮。

DDoS 攻击有三个核心特点：

DDoS 和普通 DoS 的区别在于：

可以简单理解为：

• DoS：一个人堵门；
• DDoS：一群人从四面八方堵门。

三、Cloudflare 为什么能防 DDoS？

Cloudflare 防 DDoS 的关键，不是让你的源站服务器“变得更强”，而是把攻击流量提前引到 Cloudflare 的全球边缘网络上，在离攻击源更近的位置进行吸收、识别、限速、丢弃、挑战和缓存。

原本攻击者是直接冲你的服务器；接入 Cloudflare 后，攻击者先冲进 Cloudflare 的全球流量清洗网络。大部分异常流量在边缘节点就被处理掉，只有相对干净的流量才会回到源站。

1. 入口转移：让攻击先打到 Cloudflare

普通网站接入 Cloudflare 后，用户访问域名时，DNS 通常解析到的是 Cloudflare 的边缘节点 IP，而不是源站真实 IP。

这意味着：

第一层逻辑就是：不要让攻击直接打到真正的服务器。

2. Anycast 网络：把攻击流量分散到全球

Cloudflare 使用全球 Anycast 网络，同一个服务 IP 可以在全球多个数据中心同时广播。攻击流量不会集中压到一个机房，而是被分散到多个边缘节点处理。

这相当于把一个大洪水拆成许多小水流，再由全球不同节点分别承接和清洗。

3. L3/L4 层过滤：还没到网站层面就丢弃异常包

DDoS 有些发生在网络层和传输层，例如：

这些攻击不一定真的访问网页，它们可能只是发送大量异常网络包。Cloudflare 可以在边缘节点识别并丢弃异常包，避免它们继续进入源站。

4. L7 应用层防护：识别“看起来像真人”的异常请求

更难防的是应用层 DDoS。它可能不是单纯拼带宽，而是疯狂请求某些高成本接口，例如：

• 登录接口；
• 搜索接口；
• 下单接口；
• 支付接口；
• 评论接口；
• API 查询接口；
• 动态页面渲染接口。

这类请求表面上可能像正常用户访问，但频率、路径、行为模式异常。

Cloudflare 会结合：

应用层防护的本质是：不仅看请求多不多，还要看请求像不像正常用户。

5. 攻击指纹：识别这一批攻击流量的共同特征

Cloudflare 不是只靠固定规则。面对攻击时，系统会尝试分析攻击流量的共同特征，例如：

• 来自哪些地区；
• 使用什么协议；
• 访问什么路径；
• User-Agent 是否异常；
• 请求频率是否异常；
• Header 是否相似；
• 包大小是否异常；
• TCP 状态是否异常；
• 是否集中打某个端口或接口。

然后将这些特征抽象成临时规则：

1
2

匹配攻击特征 → 丢弃 / 限速 / 挑战 / 阻断
不匹配攻击特征 → 正常放行

这比简单封 IP 更有效，因为 DDoS 往往来自大量僵尸设备，单纯封 IP 很容易跟不上变化，也容易误伤正常用户。

6. 回源控制：只让清洗后的流量进入源站

Cloudflare 清洗之后，源站接收到的应该主要是：

• 正常用户请求；
• 通过挑战验证的人类访问；
• 被限速后的可疑流量；
• 必须回源的动态请求。

大量攻击流量在边缘节点就被吸收或丢弃了。

这就是 Cloudflare 防 DDoS 的核心：

攻击流量在边缘被处理，源站只看到相对干净的流量。

7. 但 Cloudflare 不是万能盾

Cloudflare 很强，但前提是配置正确。常见失效原因包括：

所以正确的做法不是“接入 Cloudflare 就结束”，而是：

1
2
3
4
5
6
7

隐藏源站 IP
+ 配置 DNS 代理
+ 配置 WAF
+ 配置 Rate Limiting
+ 配置 Bot 防护
+ 源站只允许 Cloudflare 回源
+ 高成本接口单独限流

四、除了 DDoS，常见网络攻击还有哪些？

DDoS 只是网络攻击中的一种。常见网络攻击还包括钓鱼、撞库、暴力破解、SQL 注入、XSS、CSRF、SSRF、木马、勒索软件、中间人攻击、DNS 劫持、供应链攻击、零日漏洞攻击等。

下面按攻击目标来归纳。

五、社会工程类攻击：攻击人的判断力

1. 钓鱼攻击 Phishing

钓鱼攻击是最常见、最现实的网络攻击之一。攻击者伪装成银行、快递、公司 IT、领导、平台客服等，诱导用户：

• 点击链接；
• 输入账号密码；
• 下载恶意软件；
• 提交验证码；
• 转账付款；
• 打开恶意附件。

常见形式包括：

钓鱼攻击的危险在于，它不是直接攻击技术系统，而是攻击人的信任和判断力。

防范方式

最重要的一句话是：

任何要求你输入密码、验证码、私钥、支付信息、下载软件、转账的场景，都要默认提高警惕。

六、账号类攻击：攻击你的“钥匙”

账号是很多攻击的入口。攻击者不一定需要“破解系统”，只要拿到你的账号密码，就可以像正常用户一样进入系统。

1. 密码撞库 / 凭证填充

很多人在多个平台使用同一个密码。如果某个小网站泄露了账号密码，攻击者会拿这些账号密码去尝试登录邮箱、社交平台、云盘、网银、企业后台等。

逻辑是：

1
2
3
4
5

A 网站泄露账号密码
        ↓
攻击者拿同一组账号密码尝试登录 B/C/D 网站
        ↓
如果用户复用密码，其他账号也可能被攻破

2. 暴力破解

攻击者不断尝试常见密码组合，例如：

1
2
3
4
5

123456
password
admin123
生日+姓名
手机号后六位

现在很多暴力破解会结合泄露密码库、常见密码字典和自动化脚本。

3. 会话劫持

用户登录网站后，浏览器通常会保存 session cookie。如果攻击者窃取了 cookie，可能不需要知道密码，也能冒充用户登录。

常见风险来源包括：

• XSS 窃取 cookie；
• 不安全的公共 Wi-Fi；
• 恶意浏览器插件；
• HTTP 明文传输；
• 设备中木马。

防范方式

普通人最应该优先保护的账号是：

账号安全最重要的四件事：

1
2
3
4

不复用密码
+ 开启 MFA
+ 重要账号使用更强验证方式
+ 定期检查异常登录记录

七、网站与应用攻击：攻击代码、接口和数据库

Web 应用攻击是网站、App、小程序、后台系统、教学平台、电商系统最常见的风险之一。

1. SQL 注入

如果网站没有正确处理用户输入，攻击者可能把恶意 SQL 语句混入输入内容，操纵数据库。

可能造成：

错误思路是：

1

用户输入什么，系统就直接拿去拼 SQL。

正确思路是：

1

用户输入只能作为参数，不能成为 SQL 逻辑的一部分。

防范方式

• 使用参数化查询；
• 不拼接 SQL 字符串；
• 对输入做类型校验；
• 数据库账号使用最小权限；
• 重要操作记录日志；
• 使用 ORM 时也不能盲目信任用户输入。

2. XSS 跨站脚本攻击

XSS 是攻击者把恶意脚本注入网页，使其他用户打开页面时执行这些脚本。

可能危害包括：

• 偷 cookie；
• 劫持登录状态；
• 伪造用户操作；
• 弹出假登录框；
• 修改网页内容；
• 引导下载恶意软件。

典型场景是：评论区、昵称、个人简介、富文本编辑器等地方没有过滤脚本，攻击者提交恶意内容后，其他用户打开页面就会中招。

防范方式

• 对用户输入进行过滤；
• 对输出内容进行 HTML 转义；
• 设置 Content Security Policy；
• Cookie 设置 HttpOnly、Secure、SameSite；
• 评论区、富文本、昵称、个人简介等位置重点防护。

3. CSRF 跨站请求伪造

CSRF 是诱导已经登录的用户，在不知情的情况下向目标网站发送操作请求。

它利用的是：

1
2
3

用户已经登录
+ 浏览器会自动带上 Cookie
+ 网站没有验证请求是否来自用户真实意图

比如用户已经登录某后台系统，攻击者诱导他访问恶意页面，该页面悄悄向原网站提交删除、修改、转账等请求。

防范方式

• 使用 CSRF Token；
• Cookie 设置 SameSite；
• 重要操作要求二次确认；
• 敏感操作不要只依赖 GET 请求；
• 修改密码、转账、删除数据等操作重新验证身份。

4. SSRF 服务端请求伪造

SSRF 是攻击者诱导服务器访问攻击者指定的地址。

它危险的地方在于，服务器可能能访问普通用户访问不到的内部资源，例如：

• 云服务器元数据接口；
• 内网管理后台；
• 内部数据库；
• 内部 API；
• Redis、Elasticsearch 等服务。

防范方式

• 限制服务器可访问的目标地址；
• 禁止访问内网 IP、本地地址、云元数据地址；
• 对 URL 使用白名单；
• 监控出站流量；
• 对图片抓取、PDF 生成、Webhook、回调功能特别谨慎。

5. 文件上传漏洞

如果网站允许用户上传文件，但没有严格限制文件类型、路径、执行权限，攻击者可能上传恶意脚本或木马。

常见场景包括：

防范方式

• 限制文件类型；
• 限制文件大小；
• 上传文件单独存储；
• 禁止上传目录执行脚本；
• 文件名重新生成；
• 做病毒扫描；
• 图片等文件进行重新编码处理；
• 不信任前端传来的 MIME 类型。

6. 访问控制失效 / 越权访问

越权是非常常见、也非常严重的问题。

例如：

1
2
3
4

普通用户可以访问管理员接口
用户 A 可以查看用户 B 的订单
学生可以修改教师后台数据
未登录用户可以访问内部文件

这类问题不是“密码错了”，而是系统权限设计本身出了问题。

防范方式

• 每个接口都要做权限校验；
• 不要只在前端隐藏按钮；
• 服务端必须验证用户身份和资源归属；
• 管理员权限单独隔离；
• 使用最小权限原则；
• 定期做权限审计。

关键原则是：

前端不显示，不等于不能访问。真正的权限控制必须在后端完成。

八、恶意软件攻击：让你的设备变成攻击入口

1. 木马

木马通常伪装成正常软件、破解工具、游戏外挂、插件、PDF 阅读器、安装包等。一旦用户安装，攻击者可能获得远程控制能力。

可能危害包括：

• 偷文件；
• 录屏；
• 记录键盘输入；
• 窃取浏览器密码；
• 控制摄像头；
• 安装更多恶意程序。

2. 病毒

病毒会感染文件，并随着文件传播。传统病毒常见于可执行文件、U 盘、盗版软件中。

3. 蠕虫

蠕虫不一定需要用户主动点击，它可以利用系统漏洞自动传播。历史上很多大规模网络安全事故都与蠕虫式传播有关。

4. 间谍软件

间谍软件主要用于监控和窃取信息，例如：

• 浏览记录；
• 输入内容；
• 聊天记录；
• 账号密码；
• 位置信息；
• 文件内容。

5. 键盘记录器

键盘记录器会记录用户输入，包括账号、密码、验证码、银行卡信息等。

防范方式

普通用户最有效的终端防护是：

1
2
3
4
5

系统及时更新
+ 软件从正规渠道下载
+ 不用破解软件
+ 浏览器插件少装
+ 重要文件定期备份

九、勒索软件：最现实、最昂贵的破坏性攻击之一

勒索软件会加密用户或企业的数据，然后要求支付赎金。现在很多勒索攻击还会采取“双重勒索”：不仅加密数据，还窃取数据，并威胁公开泄露。

典型流程是：

1
2
3
4
5
6
7
8
9
10
11

钓鱼邮件 / 漏洞入侵 / 凭证泄露
        ↓
进入内网
        ↓
横向移动
        ↓
窃取数据
        ↓
加密服务器和终端
        ↓
勒索赎金

勒索软件对医院、学校、企业、政府、制造业尤其危险，因为这些组织一旦系统瘫痪，会直接影响现实运转。

防范方式

备份尤其重要。没有备份，勒索软件就有谈判筹码；有可用备份，组织至少还有恢复能力。

十、中间人攻击：偷听或篡改通信

中间人攻击是攻击者插在用户和服务器之间，窃听、篡改或重放通信内容。

常见场景包括：

• 不安全的公共 Wi-Fi；
• 伪造热点；
• DNS 劫持；
• HTTPS 证书异常；
• 局域网 ARP 欺骗。

例如，你以为自己连接的是咖啡馆 Wi-Fi，实际上连接到了攻击者伪造的热点。你访问的网站、提交的数据，都可能被中间人观察或篡改。

防范方式

• 重要网站必须使用 HTTPS；
• 浏览器提示证书异常时不要继续访问；
• 公共 Wi-Fi 下不登录敏感账户；
• 企业网络使用 VPN 或零信任访问；
• App 和网站启用 HSTS；
• 使用可信 DNS 解析服务；
• 企业内网监控 ARP 欺骗、异常网关、异常 DNS。

普通人要特别注意：

在公共 Wi-Fi 环境下，尽量不要处理网银、支付、公司后台、重要邮箱。

十一、DNS 与路由类攻击：攻击互联网“寻址系统”

1. DNS 劫持

DNS 的作用是把域名解析成 IP 地址。如果 DNS 被篡改，用户输入正确网址，也可能被带到假网站。

例如：

1
2
3

你输入 bank.com
正常情况 → 真实银行网站
DNS 被劫持 → 假银行网站

2. DNS 污染

DNS 污染是返回错误解析结果，使用户无法访问正确网站，或者被引导到错误地址。

3. BGP 劫持

BGP 是互联网路由系统的重要协议。如果 BGP 路由被错误或恶意宣告，流量可能被引导到错误网络。它影响的是互联网更底层的路由路径，通常属于运营商、云厂商、大型网络安全事件层面的风险。

防范方式

很多网站安全事故不是服务器被黑，而是域名、DNS、云账号被拿下。

十二、内网入侵：攻破一点，扩大战果

攻击者一开始可能只攻破一台员工电脑，但真正目标可能是：

• 数据库服务器；
• 域控服务器；
• 财务系统；
• 研发代码仓库；
• 文件服务器；
• 核心业务系统。

于是攻击者会在内网中继续移动：

1
2
3
4
5
6
7
8
9

员工电脑
  ↓
文件服务器
  ↓
数据库服务器
  ↓
域控服务器
  ↓
核心业务系统

这叫横向移动。

常见手段

防范方式

• 内网网络分段；
• 员工账号最小权限；
• 管理员账号单独使用；
• 服务器之间不要随意互通；
• 禁止弱口令；
• 关键系统强制 MFA；
• 监控异常登录、横向访问、批量文件操作；
• 定期审计权限和账号。

企业安全最怕的是：

1
2
3
4
5

一个普通员工账号泄露
        ↓
全公司内网都能横向访问
        ↓
数据库、文件服务器、域控全部暴露

十三、供应链攻击：不直接打你，而是打你信任的人

供应链攻击的特点是：攻击者不直接攻击目标，而是攻击目标依赖的软件、插件、开源库、更新包、外包服务商或 SaaS 平台。

常见对象包括：

这种攻击很隐蔽，因为它利用的是“信任链”。

防范方式

• 开源依赖定期扫描漏洞；
• 不随便引入冷门依赖；
• 锁定依赖版本；
• CI/CD 流水线权限隔离；
• 代码发布需要审批；
• 软件更新包签名校验；
• 第三方服务商账号最小权限；
• 关键供应商做安全评估；
• 重要系统避免“一个外包账号通吃所有权限”。

现代软件不是单独写出来的，而是由大量依赖、组件、API 和 SaaS 服务共同拼出来的。因此，供应链安全已经成为企业安全的重要组成部分。

十四、零日漏洞攻击：最难提前防住的攻击

零日漏洞是厂商或公众尚未掌握、尚未修复的漏洞。攻击者利用这种漏洞发动攻击，防御方很难提前防范。

零日攻击通常价值很高，常见于：

• 高级持续性威胁；
• 国家级攻击；
• 高价值企业攻击；
• 浏览器、操作系统、VPN、防火墙漏洞利用。

防范方式

零日漏洞不能完全依靠“及时打补丁”，因为补丁可能还不存在。因此重点是减少暴露面和限制损害范围。

面对零日漏洞，真正有效的不是幻想永远不被打穿，而是：

即使一个点被突破，也不要让攻击者轻易控制全局。

十五、普通人应该如何防范网络攻击？

普通人不需要掌握所有技术细节，但至少应该做到以下几点。

普通用户最重要的四件事是：

1
2
3
4

不复用密码
+ 开启 MFA
+ 不乱下载软件
+ 定期备份重要文件

如果只能记住一句话，那就是：

账号安全靠 MFA，设备安全靠正规软件和更新，数据安全靠备份，防诈骗靠不轻信链接和验证码请求。

十六、网站、小程序、教学平台应该如何防范？

如果自己运营网站、教学平台、电商小程序、AI 批阅平台、后台系统，至少要做到：

很多小系统不是被“高级黑客”打穿，而是因为：

1
2
3
4
5

后台弱密码
+ 没有限流
+ 文件上传没限制
+ 数据库直接暴露
+ 没有备份

对于小型网站或教学平台，最实用的安全策略是：

1. 管理员账号强制 MFA；
2. 所有接口做权限校验；
3. 登录、上传、搜索、AI 调用接口做限流；
4. 数据库不暴露公网；
5. 文件上传目录禁止执行脚本；
6. 定期备份并测试恢复；
7. 使用 CDN / WAF 并隐藏源站 IP；
8. 日志里要能看到异常登录、批量请求、数据导出行为。

十七、企业组织应该如何系统化防御？

企业不能只靠员工自觉，也不能只靠购买某一个安全产品。企业安全更像一个体系工程，需要同时关注资产、账号、终端、网络、应用、数据、日志、供应链和应急响应。

企业安全最怕的是“只买设备，不建流程”。设备只是工具，真正有效的是：

1
2
3
4
5
6

资产清楚
+ 权限清楚
+ 风险清楚
+ 日志可见
+ 备份可用
+ 出事有人会处理

一个成熟的企业安全体系，至少要问清楚几个问题：

1. 我们有哪些资产暴露在公网？
2. 谁拥有管理员权限？
3. 哪些账号没有 MFA？
4. 哪些系统没有打补丁？
5. 哪些数据最敏感？
6. 备份是否真的能恢复？
7. 出现勒索软件时谁来决策？
8. 日志能否看出异常行为？
9. 供应商账号是否权限过大？
10. 员工是否识别过钓鱼邮件？

这些问题比单纯购买某个安全产品更重要。

十八、按攻击类型汇总防范方式

十九、一个真实攻击往往是“组合拳”

现实中的网络攻击很少只使用一种手段，往往是多种攻击组合在一起。

例如，一次企业勒索攻击可能是：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

钓鱼邮件
  ↓
员工点击附件
  ↓
木马进入电脑
  ↓
窃取账号密码
  ↓
进入企业内网
  ↓
横向移动
  ↓
找到文件服务器和数据库
  ↓
窃取数据
  ↓
部署勒索软件
  ↓
加密系统并索要赎金

一次电商平台攻击可能是：

1
2
3
4
5
6
7
8
9

撞库登录用户账号
  ↓
批量盗取优惠券
  ↓
爬取商品和订单数据
  ↓
DDoS 干扰平台服务
  ↓
利用业务漏洞套利

一次小网站攻击可能是：

1
2
3
4
5
6
7
8
9
10
11

发现后台弱密码
  ↓
进入管理后台
  ↓
上传恶意文件
  ↓
获得服务器权限
  ↓
读取数据库
  ↓
篡改页面或植入木马

因此，网络安全不能只防一个点，而要同时考虑：

1
2
3
4
5
6
7
8
9

人
+ 账号
+ 终端
+ 网络
+ 应用
+ 数据
+ 权限
+ 日志
+ 供应链

二十、最终结论：网络安全不是“绝对不被攻破”，而是降低概率与损失

网络安全不是追求一种绝对安全状态。现实中不存在“永远不会被攻击”的系统，只有攻击成本高不高、被攻破后损失大不大、发现速度快不快、恢复能力强不强。

可以把防御目标概括为五句话：

1
2
3
4
5

人不被骗
账号不失守
终端不中毒
应用不裸奔
数据有备份

再进一步说：

1
2
3
4
5

入口要少
权限要小
日志要看
备份要真
出事要能恢复

对普通人而言，最重要的是：

1. 不复用密码；
2. 开启 MFA；
3. 不乱点链接和附件；
4. 不安装破解软件；
5. 定期备份重要文件。

对网站和小型系统而言，最重要的是：

1. 使用 HTTPS；
2. 配置 CDN / WAF；
3. 隐藏源站 IP；
4. 后台强制 MFA；
5. 所有接口做权限校验；
6. 登录、上传、搜索、AI 调用等接口做限流；
7. 数据库最小权限；
8. 定期备份并测试恢复。

对企业而言，最重要的是：

1. 资产清楚；
2. 权限清楚；
3. 账号安全；
4. 终端可控；
5. 网络分段；
6. 日志可见；
7. 备份可用；
8. 供应链可控；
9. 应急响应有预案。

网络攻击的形式很多，但防御的底层逻辑并不复杂：

不要轻易相信输入，不要过度暴露入口，不要给账号过大权限，不要让单点失守变成全局沦陷，不要让一次攻击变成无法恢复的灾难。