🏆  作者简介，愚公搬代码 🏆《头衔》：华为云特约编辑，华为云云享专家，华为开发者专家，华为产品云测专家，CSDN博客专家，CSDN商业化专家，阿里云专家博主，阿里云签约作者，腾讯云优秀博主，腾讯云内容共创官，掘金优秀博主，51CTO博客专家等。🏆《近期荣誉》：2022年度博客之星TOP2，2023年度博客之星TOP2，2022年华为云十佳博主，2023年华为云十佳博主等。🏆《博客内容》：.NET、Java、Python、Go、Node、前端、IOS、Android、鸿蒙、Linux、物联网、网络安全、大数据、人工智能、U3D游戏、小程序等相关领域知识。🏆🎉欢迎 👍点赞✍评论⭐收藏

🔎1.入侵前奏分析

🦋1.1 whois查询

WHOIS查询是一种用于确定域名或IP地址的所有者和注册信息的公共数据库查询服务。使用WHOIS查询，您可以查找域名的注册商、注册日期、到期日期、域名所有者的联系信息以及域名服务器等相关信息。

WHOIS协议通常使用TCP端口43进行通信。

WHOIS查询网址有很多，常见的包括：

1. ICANN WHOIS：https://whois.icann.org/
2. DomainTools WHOIS：https://whois.domaintools.com/
3. Whois.com：https://www.whois.com/
4. IANA WHOIS：https://www.iana.org/whois

请注意，由于WHOIS是公开数据库，因此某些敏感信息（例如个人联系信息）可能会被隐藏或保护，以保护个人隐私。

以站长之家的网址查询：https://whois.chinaz.com/anquan1000.com

🦋1.2 DNS解析查询

DNS解析查询是指通过查询域名系统（DNS）服务器来获取特定域名的IP地址或其他相关信息的过程。DNS解析查询可以通过多种方式进行，最常用的方式是使用命令行工具如nslookup或dig，在命令行窗口中输入特定的命令来进行查询。例如，使用nslookup命令可以输入"nslookup www.example.com"来查询域名www.example.com的IP地址。DNS解析查询也可以通过在线工具和网站来进行，用户只需在工具或网站上输入域名并点击查询按钮即可获取相应的解析结果。

DNS协议使用两个端口号：53和5353。

• 端口53是DNS协议的默认端口号，用于传输普通的DNS查询和回答消息。
• 端口5353是用于mDNS（多播DNS）协议，这是一种在局域网中实现零配置服务发现的协议。mDNS允许设备在局域网上自动发现和通信，而无需配置专门的DNS服务器。

这些端口号是协议默认的端口号，但是在实际中可以根据需要进行配置。

当目标服务器使用CDN时，它会将自己的域名解析配置为CDN提供的域名，例如example.cdn.com。当用户发送请求时，会先访问域名解析服务（DNS服务器），解析该域名。域名解析服务会返回CDN提供的IP地址，而不是目标服务器的真实IP地址。

然后，用户的请求会发送到最近的CDN节点，CDN节点会根据请求的域名来确定目标服务器。CDN节点内部会有一种机制，通常称为负载均衡，它会根据一定的算法将请求路由到合适的目标服务器上。

🦋1.3 默认404页面信息泄露

默认404页面是当用户访问一个不存在的页面时显示的页面。如果默认404页面未经适当配置，可能会导致信息泄露。

信息泄露在默认404页面中可能会发生的情况包括：

1. 文件路径泄露：默认404页面可能显示请求的文件路径或URL，这可能会泄露服务器的目录结构和文件路径，暴露敏感信息。

2. 版本信息泄露：默认404页面可能包含服务器和应用程序的版本信息，攻击者可以利用这些信息来寻找已知的漏洞和攻击服务器。

3. 其他敏感信息泄露：默认404页面可能显示其他敏感信息，比如网站管理员联系信息、数据库连接信息等。

为了避免默认404页面信息泄露，可以进行以下配置：

1. 禁用详细错误消息：在服务器配置中禁用显示详细的错误消息，以防止泄露敏感信息。

2. 自定义404页面：创建一个自定义的404页面，并将其配置为服务器的默认404页面。这样可以控制页面的内容，并避免泄露敏感信息。

3. 限制访问错误页面：通过访问控制列表（ACL）或其他方法，限制对错误页面的访问，只允许授权用户或特定IP地址访问错误页面。

4. 删除默认错误页面：在服务器上删除默认的404页面，以防止其被意外或恶意访问。

🦋1.4 HTTP状态码

HTTP状态码是指由Web服务器返回的三位数字代码，用来表示HTTP请求的结果状态。它由一系列的数字组成，每个数字具有特定的含义。常见的HTTP状态码有以下几种：

常见的HTTP状态码有：

通过HTTP状态码，客户端可以根据不同的状态来处理返回的结果，以便更好地处理和展示用户请求的结果。

🦋1.5 端口扫描

端口扫描是指通过发送网络请求来探测目标计算机上开放的网络端口。端口是计算机上用于识别应用程序和服务的数字标识。每个网络服务都会监听一个特定的端口，例如Web服务监听80端口，邮件服务监听25端口等。

端口扫描可以用于安全审计、漏洞扫描和网络侦查等目的。通过端口扫描，黑客或安全研究人员可以识别目标计算机上开放的端口，进而推测出可能运行的服务和操作系统。这对于攻击者来说，可以帮助他们发现潜在的漏洞和攻击路径；而对于防御者来说，可以帮助他们发现安全漏洞并采取相应的措施。

常见的端口扫描方法包括TCP扫描、UDP扫描、SYN扫描、FIN扫描、XMAS扫描和NULL扫描等。这些方法利用不同的技术和协议来发送网络请求，并根据目标主机的响应来判断端口的状态（开放、关闭或过滤）。

Nmap（Network Mapper）是一款强大的开源端口扫描工具，具有多项功能。以下是Nmap的三个基本功能：

nmap可用于扫描从仅有两个节点的网络，直至500个节点以上的网络。nmap还允许用户定制扫描技巧。通常，一个简单的使用ICMP 协议的 ping 操作可以满足一般需求；也可以深入探测 UDP 或者 TCP 端口，直至主机使用的操作系统；还可以将所有探测结果记录到各种格式的日志中，供进一步分析操作。

以下为常用的命令实例。

（1）进行 ping 扫描，显示对扫描做出响应的主机，不做进一步测试(如端口扫描或者操作系统探测)。

nmap -sP 192.168.1.0/24

（2）仅列出指定网络上的每台主机，不发送任何报文到目标主机。

nmap -sL 192.168.1.0/24

（3）探测目标主机开放的端口，可以指定一个以逗号分隔的端口列表(如PS22，23，25，80)。

nmap -PS 192.168.1.234

（4）使用 UDP ping 探测主机。

nmap -PU 192.168.1.0/24

（5）使用频率最高的扫描选项:SYN 扫描，又称为半开放扫描，它不打开一个完全的 TCP 连接，执行得很快。

nmap -sS 192.168.1.0/24

（6）当 SYN 扫描不能用时，TCP ConnectO扫描就是默认的 TCP 扫描。

nmap -sT 192.168.1.0/24

（7）UDP 扫描用-sU 选项，UDP 扫描发送空的(没有数据)UDP报头到每个目标端口。

nmap -sU 192.168.1.0/24

（8）确定目标机支持哪些IP协议(TCP、ICMP、IGMP 等)

nmap -sO 192.168.1.19

🦋1.6 社会工程学

社会工程学是一种利用心理学和社会学知识的技术，通过欺骗、操纵和影响人们的心理和行为来达到某种目的的方法。黑客可以利用社会工程学来获取信息、获取权限、实施欺诈行为或进行其他恶意活动。

黑客利用社会工程学的方式可以包括以下几种：

1. 钓鱼攻击：黑客发送伪装成合法机构或个人的电子邮件、消息或链接，诱使受害者点击恶意链接、下载恶意文件或输入个人敏感信息。

2. 冒充身份：黑客可能假扮成信任的个人或组织，通过电话、电子邮件或社交媒体与受害者联系，试图获取敏感信息或诱导受害者采取某些行动。

3. 社交工具利用：黑客通过社交媒体等渠道获取受害者的个人信息，并利用这些信息进行诈骗、欺骗或其他恶意活动。

4. 垃圾邮件：黑客可以发送看似合法的邮件，诱使受害者点击链接、下载文件或揭示个人信息。

为了防止黑客利用社会工程学对自身进行攻击，人们应当保持警惕并采取以下预防措施：

• 不轻信陌生人的信息和请求；
• 谨慎对待来自不明来源的电子邮件、消息和链接；
• 验证身份，尤其是涉及个人信息或敏感操作的情况；
• 定期更新密码，使用强密码，并避免多个平台使用相同的密码；
• 保持终端设备和软件的安全更新。

🦋1.7 知识链条扩展

网络安全踩点是指对网络系统和应用程序进行安全测试和评估，以发现潜在的漏洞和安全风险。通过模拟真实的黑客攻击手法和技术，以合法的方式进行测试，评估网络的安全性和防御能力。

网络安全踩点的目的是提前发现系统和应用程序中的安全漏洞，以便及时修复，防止黑客或攻击者利用这些漏洞进行非法入侵、数据泄露、拒绝服务攻击等恶意行为。踩点测试可以揭示网络的弱点，包括配置错误、不安全的代码实现、密码弱点、缺乏访问控制等问题。

网络安全踩点通常包括以下步骤：

1. 信息收集：收集有关目标网络系统和应用程序的信息，包括IP地址、域名、操作系统、应用程序版本等。
2. 漏洞扫描：使用自动化工具对目标进行扫描，寻找已知的漏洞和弱点。
3. 渗透测试：模拟黑客攻击的方式，对目标进行渗透和入侵，测试系统的防御能力。
4. 安全评估和报告：分析测试结果，评估系统的安全性，并生成详细的报告，指出发现的漏洞和建议的修复方法。

信息收集分为主动和被动两种。主动信息收集与系统直接交互收集信息，例如，使用端口扫描，可以确定系统开启的端口、操作系统类型、运行的应用和服务，根据探测结果检测是否存在常见漏洞，开展后续的网络渗透。被动信息收集是指在不接触目标系统的情况下挖掘信息，如查询目标企业的地址、电话，管理员的个人信息等，如果足够深入，甚至可以了解目标公司的网络边界防护情况，以及目标网络中使用的操作系统和服务器软件类型。被动信息收集可以借助一些工具:开放渠道情报(OSINT)是一系列通过挖掘公开和已知信息获取的目标情报的集合；在线信息查询网站whois、Netcraft，本地的NSLookup工具；或者参考渗透测试执行标准PTES(http://www.pentest-standard.org)进行更精准的信息探测。

🔎2.Web入侵事件

在Internet上，有许多网站模板和建站系统，它们配置方便、界面美观，因此受到了很多企业和个人站长的喜爱。然而，这些建站系统也存在着安全隐患。由于这些建站系统和网站模板都是开源的，任何人都可以获取其源码。一旦源码存在漏洞，采用了这些模板的所有网站都会面临危险。此外，在Web系统的开发过程中，由于设计陷阱、程序员安全意识不足以及缺乏安全开发理念等原因，系统中存在安全漏洞，这直接导致了系统遭受入侵。

🦋2.1 自动化漏洞挖掘

漏洞挖掘是一个多种漏洞挖掘分析技术相互结合、共同使用和优势互补的过程。当前漏洞挖掘分析技术有多种，主要包括以下几种：

1. 手工测试技术（manual testing）：手工测试是指通过人工进行漏洞挖掘和测试的方法。测试人员需要根据经验和知识对目标系统进行分析和测试，发现可能存在的漏洞。

2. Fuzzing技术：Fuzzing是一种自动化测试技术，通过向目标系统输入大量随机、异常或边界情况的数据进行测试，以发现可能存在的软件缺陷和漏洞。Fuzzing技术可以帮助测试人员快速发现潜在的漏洞，但也可能产生大量误报。

3. 比对和二进制比对技术（diff and bin diff）：比对技术是指通过对目标系统和已知安全漏洞的比对，来发现可能存在的相似漏洞。二进制比对技术则是通过比较二进制代码的差异来发现漏洞。

4. 静态分析技术（static analysis）：静态分析是指在不运行程序的情况下，对源代码进行分析，以发现可能存在的漏洞。静态分析技术可以通过检查代码中的安全规则和模式，来发现潜在的漏洞。

5. 动态分析技术（runtime analysis）：动态分析是指在程序运行时，监控和分析程序的行为，以发现可能存在的漏洞。动态分析技术可以通过跟踪程序执行过程中的输入和输出，来发现潜在的漏洞。

当前，漏洞挖掘越来越趋于模式化，许多黑客或者渗透测试人员都会使用自动化脚本和工具进行漏洞挖掘。相比传统的手工挖掘，自动化挖掘更加高效，可以大大提高漏洞发现的效率。然而，自动化挖掘也需要合理选择和使用适当的工具，以避免对目标系统造成不必要的损害。此外，手工测试仍然是一个重要的漏洞挖掘方法，因为它可以根据具体情况进行深入的分析和测试，发现一些自动化工具可能漏掉的漏洞。

🦋2.2 旁站入侵

旁注入侵是指攻击者通过在目标系统中注入恶意代码或指令以获取非法访问权限或控制目标系统。与传统的注入攻击不同，旁注入侵并不直接针对目标系统的应用程序或数据库，而是通过利用目标系统与其他外部系统之间的连接或交互，实施攻击。

旁注入侵通常发生在多层化或复杂化的系统架构中，攻击者可以通过攻击目标系统所依赖的其他组件、服务、设备等，注入恶意代码或指令。例如，攻击者可能通过攻击目标系统所连接的外部接口（如API、插件、组件）或共享资源（如网络协议、文件共享）来实施旁注入侵。攻击者可以利用这些连接点来注入恶意代码，从而获取系统的控制权，窃取敏感信息，篡改系统功能或行为，甚至横向移动攻击到其他系统。

旁注入侵的一大特点是攻击者利用目标系统与外部系统之间的信任关系或通信通道来实施攻击，使得攻击更为隐蔽且难以检测。

🦋2.3 ARP欺骗

ARP欺骗（ARP spoofing）是一种网络攻击技术，攻击者通过伪造或修改本地网络中的ARP协议，欺骗其他设备将网络流量发送给攻击者，从而实施窃听、中间人攻击或拒绝服务等恶意行为。

ARP协议（地址解析协议）是用于将IP地址映射到MAC地址的协议，它在局域网中工作。在正常的网络通信中，设备会发送ARP请求，请求某个IP地址对应的MAC地址。设备收到请求后，会返回自己的MAC地址。攻击者可以利用这个过程来进行ARP欺骗。

ARP欺骗的几种常见方式包括：

1. 回复ARP响应（ARP Reply）欺骗：攻击者伪造ARP响应包，将自己的MAC地址发送给其他设备，使其将数据发送给攻击者而不是正常的目标设备。

2. 请求ARP（ARP Request）转发欺骗：攻击者发送大量的ARP请求包，查询目标设备的MAC地址，并将这些请求包的源MAC地址修改为自己的MAC地址，使其他设备将数据发送给攻击者。

3. ARP缓存中毒：攻击者向网络中的设备发送伪造的ARP响应包，将目标设备的IP地址和MAC地址映射关系修改为攻击者的IP地址和MAC地址。这样，其他设备在发送数据时会将数据发送给攻击者。

ARP欺骗可以用于窃取敏感信息、中间人攻击、网络嗅探、断网或干扰网络通信等恶意行为。为了防止ARP欺骗，可以采取一些安全措施，如使用网络设备的MAC地址过滤、安装网络入侵检测系统（IDS）或防火墙，或使用虚拟专用网络（VPN）等加密通信方式。

MITM（Man in the Middle）攻击是一种网络攻击方式，攻击者在通信过程中，通过欺骗双方，将自己伪装成通信双方之一，从而能够拦截、篡改甚至替换双方的通信信息。

ARP（Address Resolution Protocol）欺骗是MITM攻击常用的一种手段。ARP协议用于将IP地址转换为MAC地址，是连接网络设备的一种重要协议。在ARP欺骗中，攻击者发送大量伪造的ARP广播请求，向网络中所有主机发送询问某个IP地址所对应的MAC地址。当受害者主机收到这些伪造的ARP广播后，会误认为攻击者的MAC地址是与之通信的目标主机的MAC地址，并将数据发送给攻击者，攻击者则将收到的数据转发给目标主机。同时，攻击者可以将接收到的数据进行分析、篡改或者丢弃，从而实施攻击。

🦋2.4 钓鱼邮件

钓鱼邮件攻击是一种网络诈骗手段，攻击者通过发送看似正规的电子邮件来欺骗用户，以获取其敏感信息，如登录名、密码、银行账号等。这种攻击通常伪装成来自可信任机构或企业的邮件，要求用户点击链接或提供个人信息。钓鱼邮件通常会利用社会工程学的技巧，通过伪造邮件头部、徽标、文字、网站等，使用户误认为邮件是合法和真实的。一旦用户点击链接或提供个人信息，攻击者就能获取到用户的敏感信息，并可能用于非法活动，如窃取资金或身份盗用。钓鱼邮件攻击对个人和企业来说都是一种严重的威胁，因此用户需要保持警惕，不轻易相信邮件中的链接和信息，同时定期更新密码，并使用安全防护软件。

钓鱼邮件攻击的特点可以总结为以下几点：

可以采取以下方法规避钓鱼邮件攻击：

🦋2.5 DNS劫持

DNS劫持是指攻击者通过篡改或劫持目标网络中的域名解析服务器（DNS服务器），将用户的域名请求重定向到恶意的IP地址或页面的行为。

当用户在浏览器中输入一个网站的域名时，浏览器会向DNS服务器发送查询请求，以获取该域名对应的IP地址。而DNS劫持攻击就是在这个过程中，攻击者通过某种手段将DNS服务器的响应篡改，将用户的请求重定向到攻击者指定的恶意IP地址或页面上，从而实现攻击目的。

DNS劫持可以用于多种恶意目的，例如：

为了防止DNS劫持，用户可以采取以下措施：

除了个人用户采取预防措施外，网站管理员和网络服务提供商也需要加强对DNS服务器的安全防护，包括加强服务器的访问控制、使用DNSSEC等。

🔎3.主机入侵事件

缓冲区溢出漏洞（Buffer Overflow Vulnerability）是一种常见的安全漏洞，指的是当程序尝试向预先分配的固定大小的缓冲区写入超过其容量的数据时，导致数据溢出到相邻的内存区域。这种溢出可以覆盖关键数据、修改程序行为、执行恶意代码等。

缓冲区溢出漏洞通常发生在使用低级编程语言（如C和C++）编写的程序中，因为这些语言对于内存管理的控制较低。攻击者利用缓冲区溢出漏洞可以执行以下恶意行为

缓冲区溢出分为远程溢出和本地溢出两种类型

无论是远程溢出还是本地溢出，缓冲区溢出漏洞都是非常危险的，可以被黑客利用来进行未授权访问、执行任意代码、拒绝服务攻击等恶意行为。为了防止缓冲区溢出漏洞，开发者应该使用安全的编程技术，如输入验证、边界检查和使用安全的编程语言或框架。同时，及时更新和修补软件和操作系统也是减少缓冲区溢出漏洞的重要步骤。

🔎4.数据库入侵事件

数据库入侵事件指的是攻击者成功获取对数据库系统的非授权访问权，从而执行恶意操作或窃取敏感数据的行为。常见的数据库入侵事件包括数据库提权和拖库。

数据库提权是指攻击者通过利用数据库系统中的漏洞或者弱密码，获取未授权的系统管理员权限或者数据库管理员权限，从而获取对数据库的完全控制权。一旦攻击者获得了管理员权限，他们可以执行各种恶意活动，如修改、删除、篡改数据库中的数据，甚至获取敏感信息。

数据库拖库是指攻击者通过利用数据库系统的漏洞或者弱密码，将整个数据库的数据全部下载或者复制到自己的服务器上。攻击者可以利用拖库行为获取大量的敏感信息，包括用户账号密码、个人信息、财务数据等。拖库行为通常会给受害者造成巨大的损失和影响，尤其是对于企业和组织来说。

这些数据库入侵事件通常通过各种手段进行，包括使用已知的数据库漏洞、暴力破解数据库密码、绕过访问控制机制等。为了防止数据库入侵事件发生，建议采取以下安全措施：

1. 及时更新数据库和相关软件的补丁，以修复已知的漏洞。
2. 使用强密码并定期更换密码。
3. 限制数据库管理员和普通用户的访问权限，使用最小权限原则。
4. 启用安全审计功能，记录数据库的访问和操作日志。
5. 定期进行数据库安全评估和渗透测试，及时发现并修复潜在的安全漏洞。
6. 实施数据备份和恢复策略，以便在发生入侵事件时能够及时恢复数据。

数据库入侵事件是一个严重的安全威胁，必须采取适当的安全措施来保护数据库的安全性。

🔎5.拒绝服务攻击事件

拒绝服务攻击（Denial of Service, DoS）是指攻击者通过各种手段（如发送大量无效请求、耗尽服务器资源等）使目标系统无法正常提供服务的行为。拒绝服务攻击可以对个人用户、组织甚至整个网络造成严重影响。

拒绝服务攻击事件比较常见，以下是一些著名的拒绝服务攻击事件示例：

1. 美国Estonia攻击事件：2007年，爆发了一系列对爱沙尼亚政府和企业网站的拒绝服务攻击，导致该国互联网服务瘫痪数周。

2. 莱斯特大学攻击事件：2015年，莱斯特大学的网络基础设施遭到拒绝服务攻击，导致学术网站和邮件系统暂时离线。

3. Dyn攻击事件：2016年，域名服务提供商Dyn遭到了一次规模庞大的拒绝服务攻击，导致了一系列著名网站（如推特、亚马逊、纽约时报等）长时间无法访问。

4. GitHub攻击事件：2018年，代码托管平台GitHub遭到了一次大规模的拒绝服务攻击，导致该网站在短时间内无法访问。

以下是一些常见的拒绝服务攻击手段：

这些只是一些常见的拒绝服务攻击手段，攻击者还可能使用其他更复杂的技术和工具来实施拒绝服务攻击。