2026/7/23大约 3 分钟
常见的网络攻击种类繁多，从消耗资源的“暴力拆解”到利用人性弱点的“尔虞我诈”，可以大致分为以下几类及其核心原理：
1. 拒绝服务攻击 (DoS / DDoS)
原理：通过短时间内发送海量的合法或非法请求，耗尽服务器的 带宽、内存、CPU 或连接数，导致正常用户无法访问。
- SYN Flood (半连接攻击)：利用 TCP 三次握手原理。攻击者发送大量 SYN 包但不回最后的 ACK，使服务器内存中堆积大量“半连接”队列，直至资源耗尽。
- 反射放大攻击：攻击者冒充受害者的 IP 向 DNS 或 NTP 服务器发短请求，这些服务器会向受害者回传巨大的响应包，实现“以小博大”的流量轰炸。
2. 注入攻击 (Injection)
原理：攻击者在输入框或 URL 参数中构造特殊的恶意代码，如果程序没做过滤直接拼接到执行命令中，就会被当作指令运行。
- SQL 注入：在登录框输入
' OR '1'='1。程序将其拼入数据库查询语句，导致绕过密码验证直接登录。 - 命令注入：利用 Web 服务的漏洞，在参数里加入
; rm -rf /等系统命令，直接控制服务器。
3. 中间人攻击 (MITM)
原理：攻击者潜伏在通信双方之间，拦截、阅读甚至篡改双方交换的数据，而双方对此一无所知。
- ARP 欺骗：在局域网内广播伪造的 ARP 包，告诉大家“我就是网关”，从而拦截所有上网流量。
- SSL 剥离：强制将用户的 HTTPS 连接降级为明文的 HTTP，从而窃取账号密码。
4. 跨站脚本攻击 (XSS)
原理：攻击者将恶意脚本（通常是 JavaScript）嵌入到正常网页中。当其他用户浏览该页面时，脚本会在用户的浏览器上运行。
- 存储型 XSS：恶意代码被存在网站数据库里（如评论区）。每个看评论的人都会被偷走 Cookie。
- 反射型 XSS：通过诱导用户点击带有脚本参数的恶意链接触发。
5. 跨站请求伪造 (CSRF)
原理：利用用户已登录的身份（浏览器自动携带的 Cookie），诱导用户在不知情的情况下点击链接，向受信任网站发起伪造请求。
- 例子：你在银行网页登录未退出，点击了一个“中奖链接”，该链接后台自动发起了给攻击者转账的请求。
6. 社会工程学 (Social Engineering)
原理：不攻击系统，攻击人。利用贪婪、恐惧或信任等心理漏洞获取信息。
- 钓鱼攻击 (Phishing)：伪造高仿的银行登录页面、协作软件通知，骗取用户输入账号密码。
- 鱼叉式钓鱼：针对特定目标（如财务人员）定制的极具欺骗性的邮件。
总结对比
| 攻击类型 | 核心目标 | 防御关键词 |
|---|---|---|
| DDoS | 瘫痪服务 | 流量清洗、高防 IP |
| SQL 注入 | 窃取/破坏数据 | 参数化查询、输入过滤 |
| XSS | 劫持用户会话 | 转义输出、内容安全策略 (CSP) |
| MITM | 窃听/篡改 | 强制全量 HTTPS、静态 ARP |
| 钓鱼 | 骗取凭证 | 多因素认证 (MFA)、安全意识培训 |
你是想了解如何为你的服务器配置防火墙防御，还是需要一份针对 Web 应用的安全开发指南？我可以为你列出具体的防御措施。