7.4 网络攻击
本篇定位：网络攻击是信息安全单选/多选双高产区（9 年直接命中 15+ 题），且 2024 起场景化明显（Webshell 链、撞库）。考点：DoS/DDoS、SQL 注入、XSS、缓冲区溢出、ARP 欺骗、撞库、社会工程、木马反向连接、伪基站、攻击分层。核心能力：每个攻击"目标是谁 + 怎么防"一句话——XSS 打客户端、ARP 骗网关、DDoS 耗资源。 数据依据：
01-真题/真题文本/+01-真题/考点汇总/+05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。 阅读提示：攻击分层与 5.1 OSI 分层衔接；SQL 注入与 4.2 SQL 衔接；伪基站已在 5.10 详（此处只提归属）；防御见 7.5。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| DoS/DDoS | 2018 单64、2019 单58、2024 多96 | 3 年 3 题 | 耗尽资源；防病毒软件防不了 |
| SQL 注入 | 2025 单68、2020 单80 | 2 年 | Web 漏洞扫描器检测；获取敏感数据 |
| XSS | 2023 单66 | 1 年 | 目标是客户端/浏览器 |
| 缓冲区溢出 | 2020 单75、2022 多97 | 2 年 | 超长输入；边界检查 |
| ARP 欺骗 | 2022 单70 | 1 年 | 伪造网关 ARP → 无法跨网段 |
| 撞库 | 2026 单78 | 1 年 | 一处泄露密码试其他系统 |
| 社会工程 | 2020 单64、2026 单27 | 2 年 | 聊天套信息；对策=全员安全意识培训 |
| 木马反向连接 | 2023 单67 | 1 年 | 绕过防火墙限制 |
| 攻击分层 | 2020 多95 | 1 年 | IP 欺骗=网络层、暴力破解=应用层 |
| WebShell 链 | 2024 单69 | 1 年 | 日志被删+暴力破解后台→上传 webshell |
命题规律：攻击题考"攻击类型识别（场景→攻击名）+ 目标定位"。2027 预测 2–3 题：DDoS/SQL 注入/XSS/撞库。核心能力：攻击全家桶十种"一句话特征"。
二、知识框架（先搭骨架）
网络攻击全家桶
├── DoS/DDoS（拒绝服务）
│ ├── 大量请求耗尽带宽/资源 → 服务中断（2018 单64、2019 单58）
│ ├── 个人防病毒软件防不了 DDoS（2019 单58）
│ └── 防：流量清洗/限速/CDN
├── SQL 注入
│ ├── 用户输入拼进 SQL 语句 → 执行恶意 SQL（2025 单68）
│ ├── 后果：获取敏感数据（2020 单80）
│ └── 检测：Web 漏洞扫描器；防：参数化查询/输入过滤
├── XSS（跨站脚本）
│ ├── 注入恶意脚本 → 在【客户端浏览器】执行（2023 单66）
│ ├── 目标：客户端用户（不是服务器）
│ └── 防：输出编码/输入过滤/CSP
├── 缓冲区溢出
│ ├── 向有限缓冲区输入超长数据 → 覆盖相邻内存（2020 单75）
│ ├── 原因：输入过长、高级语言无边界检查、无安全意识、测试不严（2022 多97）
│ └── 防：边界检查、安全函数
├── ARP 欺骗
│ ├── 伪造【网关】ARP 报文 → 数据包发不到网关 → 无法跨网段（2022 单70）
│ └── 防：IP-MAC 绑定、ARP 检测
├── 撞库
│ ├── 一处密码泄露 → 用同一密码尝试其他系统（2026 单78）
│ └── 防：不同系统不同密码、双因子
├── 社会工程
│ ├── 通过聊天套取信息/技术控制邮箱（2020 单64、2026 单27）
│ ├── 最有效措施：全员安全意识培训（2026 单27）
│ └── 不是纯技术攻击
├── 木马反向连接
│ ├── 木马主动连出（反向）→ 绕过防火墙限制（2023 单67）
│ └── 解决内网/动态 IP 连接问题
├── 伪基站（2026 单36，5.10 已详）：GSM 单向认证缺陷
└── 攻击分层（2020 多95）
├── IP 欺骗=网络层、链路监听=数据链路层
└── 暴力破解/木马植入=应用层
一句话记忆：DDoS 耗资源、SQL 注入黑数据库、XSS 打浏览器、溢出超长输入、ARP 骗网关、撞库试密码、社会工程骗人心、木马反向穿防火墙。
三、考点详解
3.1 DoS/DDoS（2018 单64、2019 单58、2024 多96）
精确定义：DoS（拒绝服务）= 通过大量请求耗尽目标带宽/CPU/连接资源，使服务不可用；DDoS = 分布式拒绝服务（多台机器同时发起）。
2019 单58（选防病毒防不了）：个人防病毒软件无法防御 DDoS——防病毒管恶意代码，不管流量型攻击。
2024 多96（WannaCry 应对，选 ABD）：应对勒索/攻击——升级系统、安装补丁、防火墙关端口；"重启中毒计算机恢复数据"是错误做法。
口诀：DDoS 是流量海啸，杀毒软件不管用。
3.2 SQL 注入（2025 单68、2020 单80）
精确定义：SQL 注入 = 把恶意 SQL 命令插入用户输入（表单/URL），拼进后台 SQL 语句执行——欺骗数据库执行非预期命令。
2020 单80（选 A）：SQL 注入可带来获取敏感数据风险。 2025 单68：检测 SQL 注入用 Web 漏洞扫描器。
防注入：参数化查询（预编译）、输入验证过滤、最小权限（衔接 4.2 SQL、7.3 最小权限）。
3.3 XSS（2023 单66）
精确定义：XSS（跨站脚本）= 攻击者在网页中注入恶意脚本，当用户访问时脚本在用户浏览器中执行——目标是客户端/浏览器，不是服务器（2023 单66 选"客户端"）。
口诀：XSS 打的是看网页的人（浏览器），不是网站服务器。
3.4 缓冲区溢出（2020 单75、2022 多97）
精确定义：缓冲区溢出 = 向固定大小的缓冲区输入超过容量的数据，数据溢出覆盖相邻内存，可能执行恶意代码。
2022 多97（原因，选全）：输入过长、高级语言无边界检查、无安全意识、测试不严——都是缓冲区溢出原因。
关联：C 语言（无边界检查）最容易溢出——与 2.4 C 指针衔接；溢出后可执行任意代码（与 7.4 Webshell 链呼应）。
3.5 ARP 欺骗（2022 单70）
精确定义：ARP 欺骗 = 攻击者伪造网关的 ARP 报文，使受害主机把数据包发到错误 MAC → 数据包无法到达网关 → 无法跨网段通信（2022 单70 选"数据包无法发送到网关"）。
注意：ARP 工作在网络层之下的数据链路层——所以防火墙（网络层及以上）难防，靠 IP-MAC 绑定。
3.6 撞库（2026 单78）
精确定义：撞库 = 攻击者用一处泄露的账号密码（如某网站拖库），去批量尝试其他系统——因为很多人多个系统用同一密码（2026 单78）。
防：不同系统不同密码、双因子认证（衔接 7.3）。
3.7 社会工程（2020 单64、2026 单27）
精确定义：社会工程 = 利用人的心理弱点（信任/好奇/恐惧）获取信息——不是纯技术攻击。
2026 单27（选培训）：李四通过聊天掌握张三信息、控制其邮箱——最有效的防范措施是全员安全意识培训（不是只靠技术手段）。
口诀：人是最薄弱的环节——防社会工程靠培训。
3.8 木马反向连接（2023 单67）
精确定义：木马反向连接 = 木马主动从内网向外连接攻击者（而不是攻击者连进来）——绕过防火墙的入站限制（防火墙默认放行出站连接），同时解决内网/动态 IP 无法直连的问题（2023 单67）。
口诀：木马"反着连"——不请自来的出站连接最可疑。
3.9 攻击分层（2020 多95）
2020 多95（选 BD）：下列属于应用层攻击的是——密码暴力破解、木马/病毒植入（B/D 对）；IP 欺骗=网络层（A 错）、链路监听=数据链路层（C 错）。
| 攻击 | 层次 |
|---|---|
| IP 欺骗 | 网络层 |
| 链路监听 | 数据链路层 |
| 暴力破解、木马植入 | 应用层 |
3.10 WebShell 攻击链（2024 单69）
2024 单69（选 C）：服务器日志被删 + 后台大量管理员登录失败 + 之后成功登录并执行操作 → 攻击者暴力破解后台登录、上传 WebShell（通过 Web 后门控制服务器）。
场景题读法：日志被删=掩盖痕迹、登录失败=暴力破解、成功后执行操作=已拿下后台。
3.11 Web 攻击全景（补强；2023 单75、2022 单73/74）
| 攻击 | 打哪里 | 关键判据 | 防御 |
|---|---|---|---|
| XSS（跨站脚本） | 浏览器/客户端 | 页面被注入脚本、窃取 Cookie；分反射型（URL 带参）、存储型（入库，危害最大）、DOM 型 | 输出编码、CSP、HttpOnly |
| CSRF（跨站请求伪造） | 借用户已登录的会话 | 用户没点广告却"被下单/被改密"；请求伪造而非注入 | CSRF Token、SameSite、校验 Referer |
| SSRF（服务端请求伪造） | 让服务器去请求内网 | 通过图片 URL/回调地址探测内网、读元数据 | 白名单、禁内网地址、统一出口 |
| SQL 注入 | 数据库 | 拼接 SQL、' or 1=1、报错/盲注 | 参数化查询、最小权限 |
| 文件上传 | 服务器文件系统 | 上传 webshell（.php/.jsp）后远程控制 | 白名单后缀、内容检测、改名、禁执行 |
| 目录遍历 / 文件包含 | 服务器文件 | ../../etc/passwd、LFI/RFI | 规范化路径、白名单 |
| 反序列化 | 应用运行时 | 恶意对象触发代码执行 | 不反序列化不可信数据、白名单类 |
| XXE | XML 解析器 | 外部实体读文件/探测内网 | 禁用外部实体 |
| 点击劫持 | 浏览器 | iframe 透明覆盖诱导点击 | X-Frame-Options、CSP |
| 越权 | 业务权限 | 水平越权（同角色看他人数据）、垂直越权（低权限做高权限操作） | 服务端逐请求鉴权 |
- 总则：一切校验必须在服务端（2023 单75：前端 JS 限制参数不能作为安全措施，可绕过）；输入白名单、输出编码、参数化、最小权限、日志审计。
- XSS 与 SQL 注入的边界（2022 单74）：SQL 注入的载荷不会在浏览器弹窗——弹窗是 XSS 的特征；两者都是注入类，但执行位置不同（DB 引擎 vs 浏览器）。
3.12 攻击流程与端口扫描（补强）
攻击八步：隐蔽攻击源 → 信息收集（Whois/DNS/端口/指纹）→ 漏洞挖掘 → 获取权限 → 提升权限 → 潜伏与横向移动 → 实施目标（窃密/破坏）→ 清理痕迹（删日志）。
端口扫描三型：
| 类型 | 做法 | 特点 |
|---|---|---|
| 全连接扫描（TCP connect） | 完成三次握手 | 准确但易被日志记录 |
| SYN 半连接（半开） | 只发 SYN，收到 SYN/ACK 即判定开放，不回 ACK | 隐蔽、快，不完成连接 |
| 秘密扫描（FIN/NULL/XMAS） | 发异常标志位包，按响应差异判断 | 可绕过部分无状态防火墙 |
3.13 SYN 泛洪与恶意软件防护（补强；2023 单68、2026 多84/多86）
SYN 泛洪（SYN Flood）：伪造大量源 IP 发 SYN，服务器回 SYN-ACK 后收不到第三次 ACK，连接停在半开（half-open）状态，占满半连接队列 ⇒ 正常用户无法建立连接。
- 与"完成握手后发垃圾请求"的连接耗尽型攻击区分：SYN 泛洪利用的是三次握手的半开阶段，不完成连接。
- 防御：SYN Cookie（不预分配资源）、缩短超时、增大队列、抗 DDoS 清洗、单 IP 速率限制。
恶意软件防护（2026 多86）：不点不明链接/附件、及时打补丁、只用正版软件、禁用宏、定期备份、最小权限、部署杀毒＋EDR、定期扫描。
- 错项套路："只靠杀毒软件就够了""装了就一劳永逸"——防病毒查不了 DDoS、管不了内部人员。
攻击分类（2026 多84）：被动攻击（嗅探、流量分析——不改变数据流）vs 主动攻击（篡改、伪造、重放、拒绝服务）。
- 关键判断：被动攻击难检测，主要靠加密预防；主动攻击易发现但难预防，靠检测与阻断＋完整性校验。
四、易错坑汇总（命题人惯用陷阱）
- XSS 目标是客户端（2023 单66）——"XSS 攻击服务器"错误（XSS 在用户浏览器执行）。
- 防病毒防不了 DDoS（2019 单58）——"杀毒软件能防 DDoS"错误（流量型 vs 恶意代码）。
- ARP 欺骗=骗网关（2022 单70）——"ARP 欺骗是应用层攻击"错误（数据链路层）；目标是让数据包到不了网关。
- 撞库=同一密码（2026 单78）——"撞库是暴力破解单个密码"不准确（撞库是拿泄露密码批量试）。
- 社会工程靠培训防（2026 单27）——"社会工程只能靠技术防"错误（人的因素靠培训）。
- 反向连接绕过防火墙（2023 单67）——"正向连接能绕过防火墙"错误（正向会被防火墙拦，反向才绕过）。
- SQL 注入是应用层攻击——"SQL 注入是网络层攻击"错误（Web 应用层）。
- 缓冲区溢出是编码缺陷——"溢出是硬件故障"错误（软件边界检查缺失）。
五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）
说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。
- 钓鱼攻击【高】：伪造邮件/网站诱导（与 2026 单27 社会工程衔接）——2027 高概率。
- CSRF（跨站请求伪造）【中】：利用用户已登录状态发起请求——与 XSS 对比。
- 中间人攻击（MITM）【中】：窃听+篡改通信——与 PKI/HTTPS 衔接。
- 重放攻击【低】：截获报文重发——与时间戳/随机数防重放衔接。
- 嗅探（Sniffing）【中】：监听明文流量——与 5.9 物理隔离衔接。
- DNS 劫持/污染【低】：篡改 DNS 解析——与 5.7 DNS 衔接。
- APT 高级持续威胁【低】：长期潜伏定向攻击——名词题。
- 零日漏洞（0-day）【中】：未公开即被利用的漏洞——与 7.10 前沿衔接。
六、真题演练（代表性真题 + 解析）
例 1（2023 单66） XSS 攻击主要攻击的对象是（口径已核）。 A. 服务器 B. 客户端浏览器 C. 数据库 D. 网络设备
答案：B。XSS 目标=客户端浏览器（脚本在用户浏览器执行）；SQL 注入才打数据库。口诀：XSS 打浏览器。
例 2（2022 单70） ARP 攻击造成无法跨网段通信的原因是（口径已核）。 A. 伪造网关 ARP 报文使数据包无法发送到网关 B. 攻击服务器 CPU C. 修改 DNS 记录 D. 感染木马
答案：A。ARP 欺骗=伪造网关 ARP → 数据包到不了网关 → 无法跨网段。口诀：ARP 骗网关、跨网段瘫痪。
例 3（2026 单78） 攻击者利用某系统泄露的账号密码批量尝试其他系统登录，这种攻击是（口径已核）。 A. 撞库 B. XSS C. 缓冲区溢出 D. 社会工程
答案：A。撞库=用泄露密码批量试其他系统（很多人同一密码）。口诀：一个密码走天下=撞库的温床。
例 4（2020 多95） 下列属于应用层攻击的有（口径已核）。 A. IP 欺骗 B. 密码暴力破解 C. 链路监听 D. 木马植入
答案：BD。暴力破解/木马植入=应用层；IP 欺骗=网络层、链路监听=数据链路层。口诀：破解木马在应用层。
例 5（2024 单69） 服务器日志被删、后台有大量登录失败信息后成功登录并执行操作，攻击者最可能的手段是（口径已核）。 A. 暴力破解登录后台、上传 WebShell B. 物理破坏 C. 拒绝服务攻击 D. 被动监听
答案：A。日志被删（掩盖）+暴力破解+成功执行=暴力破解后台+上传 WebShell。口诀：日志删+登录爆=Webshell 链。
例 6（2023 单67） 木马采用反向连接的主要目的是（口径已核）。 A. 提高传输速度 B. 绕过防火墙限制 C. 隐藏木马文件 D. 加密通信
答案：B。反向连接=木马主动连出，绕过防火墙入站限制。口诀：反向连接穿防火墙。
七、本章小结
- 一条主线：DDoS（耗资源）→ SQL 注入（黑库）→ XSS（打浏览器）→ 溢出（超长输入）→ ARP（骗网关）→ 撞库（试密码）→ 社会工程（骗人）→ 木马反向（穿墙）→ 攻击分层 → WebShell 链。
- 必背判定：XSS 目标=浏览器（2023 单66）；ARP 骗网关（2022 单70）；撞库=同密码（2026 单78）；应用层攻击=破解/木马（2020 多95）；反向连接绕防火墙（2023 单67）。
- 衔接预告：防御设备→7.5；恶意代码→7.6；SQL 注入→4.2；伪基站→5.10。