1. DoS和DDoS攻擊

拒絕服務(wù) (DoS) 攻擊旨在使系統(tǒng)資源不堪重負(fù)，使其無法響應(yīng)合法的服務(wù)請(qǐng)求。分布式拒絕服務(wù) (DDoS) 攻擊與之類似，也試圖耗盡系統(tǒng)資源。DDoS攻擊由攻擊者控制的大量受惡意軟件感染的主機(jī)發(fā)起。這類攻擊之所以被稱為“拒絕服務(wù)”攻擊，是因?yàn)槭芎W(wǎng)站無法為訪問它的用戶提供服務(wù)。

遭受DoS攻擊后，目標(biāo)網(wǎng)站會(huì)收到大量非法請(qǐng)求。由于網(wǎng)站必須響應(yīng)每個(gè)請(qǐng)求，其資源會(huì)被所有響應(yīng)消耗殆盡。這會(huì)導(dǎo)致網(wǎng)站無法正常為用戶提供服務(wù)，并經(jīng)常導(dǎo)致網(wǎng)站完全關(guān)閉。

DoS和DDoS攻擊與其他類型的網(wǎng)絡(luò)攻擊不同，后者使黑客能夠獲取系統(tǒng)訪問權(quán)限或提升現(xiàn)有訪問權(quán)限。攻擊者可以通過這些類型的攻擊直接獲益。而DoS和DDoS網(wǎng)絡(luò)攻擊的目標(biāo)僅僅是破壞目標(biāo)服務(wù)的有效性。如果攻擊者受雇于競(jìng)爭(zhēng)對(duì)手，他們可能會(huì)從中獲取經(jīng)濟(jì)利益。

DoS攻擊也可能被用來為其他類型的攻擊創(chuàng)造漏洞。一旦DoS或DDoS攻擊得逞，系統(tǒng)通常必須下線，這使其容易受到其他類型的攻擊。預(yù)防DoS攻擊的一種常見方法是使用防火墻來檢測(cè)發(fā)送到您網(wǎng)站的請(qǐng)求是否合法。然后，冒名頂替的請(qǐng)求會(huì)被丟棄，從而允許正常流量不間斷地傳輸。2020年2月，針對(duì)亞馬遜網(wǎng)絡(luò)服務(wù) (AWS) 的一次重大互聯(lián)網(wǎng)攻擊就是此類攻擊的一個(gè)例子。  

2. MITM攻擊

中間人 (MITM) 類型的網(wǎng)絡(luò)攻擊是指網(wǎng)絡(luò)安全漏洞，攻擊者可以利用這些漏洞竊聽兩個(gè)人、網(wǎng)絡(luò)或計(jì)算機(jī)之間來回發(fā)送的數(shù)據(jù)。這種攻擊被稱為“中間人”攻擊，因?yàn)楣粽邔⒆约褐糜凇爸虚g”或試圖通信的雙方之間。實(shí)際上，攻擊者是在監(jiān)視雙方之間的互動(dòng)。

在中間人攻擊 (MITM)中，雙方感覺通信正常。但他們不知道的是，實(shí)際發(fā)送消息的人在消息到達(dá)目的地之前對(duì)其進(jìn)行了非法修改或訪問。保護(hù)您自己和您的組織免受中間人攻擊的一些方法是在接入點(diǎn)上使用強(qiáng)加密或使用虛擬專用網(wǎng)絡(luò) (VPN)。

3. 網(wǎng)絡(luò)釣魚攻擊

網(wǎng)絡(luò)釣魚攻擊是指惡意攻擊者發(fā)送看似來自可信合法來源的電子郵件，試圖竊取目標(biāo)用戶的敏感信息。網(wǎng)絡(luò)釣魚攻擊結(jié)合了社會(huì)工程學(xué)和技術(shù)手段，其名稱源于攻擊者實(shí)際上是利用看似值得信賴的發(fā)件人作為“誘餌”，試圖“釣魚”獲取訪問禁區(qū)的權(quán)限。 

為了實(shí)施攻擊，攻擊者可能會(huì)發(fā)送一個(gè)鏈接，將您引導(dǎo)至一個(gè)網(wǎng)站，誘騙您下載病毒等惡意軟件，或?qū)⒛乃饺诵畔⑿孤督o攻擊者。很多情況下，目標(biāo)用戶可能并未意識(shí)到自己已被入侵，這使得攻擊者能夠攻擊同一組織中的其他人，而不會(huì)被任何人懷疑其惡意活動(dòng)。

您可以通過仔細(xì)考慮打開的電子郵件類型和點(diǎn)擊的鏈接來防止網(wǎng)絡(luò)釣魚攻擊達(dá)到其目的。密切關(guān)注電子郵件標(biāo)題，不要點(diǎn)擊任何可疑的內(nèi)容。檢查“回復(fù)”和“返回路徑”的參數(shù)。它們需要連接到電子郵件中顯示的同一域名。

4. 鯨魚式釣魚攻擊

鯨魚型網(wǎng)絡(luò)釣魚攻擊之所以得名，是因?yàn)樗闇?zhǔn)的是組織中的“大魚”或“鯨魚”，通常包括組織中的高管或其他負(fù)責(zé)人。這些人很可能掌握著對(duì)攻擊者有價(jià)值的信息，例如有關(guān)企業(yè)或其運(yùn)營的專有信息。 

如果目標(biāo)“鯨魚”下載了勒索軟件，他們更有可能支付贖金，以防止攻擊成功的消息泄露，損害其自身或所在機(jī)構(gòu)的聲譽(yù)?？梢酝ㄟ^采取與防范網(wǎng)絡(luò)釣魚攻擊相同的預(yù)防措施來預(yù)防鯨魚釣魚攻擊，例如仔細(xì)檢查電子郵件及其附件和鏈接，留意可疑的目的地或參數(shù)。

5. 魚叉式網(wǎng)絡(luò)釣魚攻擊

魚叉式網(wǎng)絡(luò)釣魚是指一種特定類型的定向網(wǎng)絡(luò)釣魚攻擊。攻擊者會(huì)花時(shí)間研究目標(biāo)，然后撰寫目標(biāo)可能認(rèn)為與自身相關(guān)的消息。這類攻擊被恰當(dāng)?shù)胤Q為“魚叉式”網(wǎng)絡(luò)釣魚，因?yàn)楣粽邥?huì)鎖定一個(gè)特定目標(biāo)。這些消息看起來似乎是合法的，因此魚叉式網(wǎng)絡(luò)釣魚攻擊很難被發(fā)現(xiàn)。

魚叉式網(wǎng)絡(luò)釣魚攻擊通常會(huì)使用電子郵件欺騙技術(shù)，偽造電子郵件“發(fā)件人”部分的信息，使其看起來像是來自不同的發(fā)件人。發(fā)件人可能是目標(biāo)信任的人，例如其社交網(wǎng)絡(luò)中的某個(gè)人、密友或商業(yè)伙伴。攻擊者還可能使用網(wǎng)站克隆技術(shù)，使通信看起來合法。通過網(wǎng)站克隆，攻擊者會(huì)復(fù)制一個(gè)合法網(wǎng)站，使受害者感到安心。目標(biāo)會(huì)誤以為該網(wǎng)站是真實(shí)的，從而放心地輸入自己的私人信息。

與常規(guī)網(wǎng)絡(luò)釣魚攻擊類似，可以通過仔細(xì)檢查電子郵件所有字段的詳細(xì)信息并確保用戶不會(huì)點(diǎn)擊任何無法驗(yàn)證目的地是否合法的鏈接來防止魚叉式網(wǎng)絡(luò)釣魚攻擊。

6.勒索軟件

勒索軟件會(huì)劫持受害者的系統(tǒng)，直到他們同意向攻擊者支付贖金。付款后，攻擊者會(huì)提供指示，指導(dǎo)受害者如何重新控制其計(jì)算機(jī)?！袄账鬈浖边@個(gè)名稱恰如其分，因?yàn)樵搻阂廛浖?huì)向受害者索要贖金。

在勒索軟件攻擊中，目標(biāo)會(huì)從網(wǎng)站或電子郵件附件下載勒索軟件。該惡意軟件旨在利用系統(tǒng)制造商或IT團(tuán)隊(duì)尚未解決的漏洞。勒索軟件隨后會(huì)加密目標(biāo)的工作站。有時(shí)，勒索軟件可以通過拒絕訪問多臺(tái)計(jì)算機(jī)或?qū)I(yè)務(wù)運(yùn)營至關(guān)重要的中央服務(wù)器來攻擊多方。

惡意軟件通常在入侵后數(shù)天甚至數(shù)周才啟動(dòng)系統(tǒng)捕獲，從而影響多臺(tái)計(jì)算機(jī)。該惡意軟件可以通過連接到多臺(tái)計(jì)算機(jī)的內(nèi)部網(wǎng)絡(luò)或通用串行總線 (USB) 驅(qū)動(dòng)器，將AUTORUN文件從一個(gè)系統(tǒng)發(fā)送到另一個(gè)系統(tǒng)。然后，當(dāng)攻擊者啟動(dòng)加密時(shí)，它會(huì)同時(shí)作用于所有受感染的系統(tǒng)。

在某些情況下，勒索軟件作者會(huì)設(shè)計(jì)代碼來規(guī)避傳統(tǒng)的殺毒軟件。因此，用戶務(wù)必對(duì)訪問的網(wǎng)站和點(diǎn)擊的鏈接保持警惕。您還可以使用下一代防火墻 (NGFW) 來阻止許多勒索軟件攻擊，該防火墻可以利用人工智能(AI) 執(zhí)行深度數(shù)據(jù)包檢查，從而識(shí)別勒索軟件的特征。

7.密碼攻擊

密碼是大多數(shù)人的首選訪問驗(yàn)證工具，因此破解目標(biāo)的密碼對(duì)黑客來說極具吸引力。這可以通過幾種不同的方法實(shí)現(xiàn)。通常，人們會(huì)將密碼的副本寫在紙上或便簽上，放在辦公桌周圍或桌子上。攻擊者可以自己找到密碼，也可以花錢請(qǐng)內(nèi)部人員幫他們獲取。  

攻擊者還可能試圖攔截網(wǎng)絡(luò)傳輸，以獲取未經(jīng)網(wǎng)絡(luò)加密的密碼。他們還會(huì)使用社會(huì)工程學(xué)，誘使目標(biāo)輸入密碼來解決看似“重要”的問題。在其他情況下，攻擊者可以直接猜測(cè)用戶的密碼，尤其是在用戶使用默認(rèn)密碼或易記密碼（例如“1234567”）的情況下。

攻擊者也經(jīng)常使用暴力破解方法來猜測(cè)密碼。暴力破解密碼會(huì)利用個(gè)人或其職位的基本信息來嘗試猜測(cè)密碼。例如，他們的姓名、生日、周年紀(jì)念日或其他易于獲取的個(gè)人信息，可以通過不同的組合來破解密碼。用戶在社交媒體上發(fā)布的信息也可能被暴力破解密碼所利用。用戶的娛樂活動(dòng)、特定愛好、寵物的名字或孩子的名字有時(shí)會(huì)被用來構(gòu)成密碼，這使得暴力破解攻擊者相對(duì)容易猜到密碼。

黑客還可以使用字典攻擊來獲取用戶密碼。字典攻擊是一種利用常用單詞和短語（例如字典中列出的單詞和短語）來嘗試猜測(cè)目標(biāo)密碼的技術(shù)。 

防止暴力破解和字典密碼攻擊的一個(gè)有效方法是設(shè)置鎖定策略。這會(huì)在一定次數(shù)的嘗試失敗后自動(dòng)鎖定對(duì)設(shè)備、網(wǎng)站或應(yīng)用程序的訪問權(quán)限。有了鎖定策略，攻擊者只需嘗試幾次就會(huì)被禁止訪問。如果您已經(jīng)設(shè)置了鎖定策略，并且發(fā)現(xiàn)您的帳戶因登錄嘗試次數(shù)過多而被鎖定，那么最好更改密碼。 

如果攻擊者系統(tǒng)性地使用暴力破解或字典攻擊來猜測(cè)您的密碼，他們可能會(huì)記錄下那些失敗的密碼。例如，如果您的密碼是姓氏加出生年份，而黑客在最后一次嘗試時(shí)嘗試將您的出生年份放在姓氏之前，那么他們可能會(huì)在下一次嘗試中成功。 

8. SQL注入攻擊

結(jié)構(gòu)化查詢語言 (SQL) 注入是一種利用依賴數(shù)據(jù)庫為用戶提供服務(wù)的網(wǎng)站的常見方法?？蛻舳耸菑姆?wù)器獲取信息的計(jì)算機(jī)，SQL攻擊使用從客戶端發(fā)送到服務(wù)器上數(shù)據(jù)庫的SQL 查詢。該命令被插入或“注入”到數(shù)據(jù)平面，以取代通常存放在那里的其他信息，例如密碼或登錄名。然后，托管數(shù)據(jù)庫的服務(wù)器運(yùn)行該命令，系統(tǒng)就被入侵了。

如果SQL注入成功，可能會(huì)發(fā)生多種情況，包括敏感數(shù)據(jù)泄露、重要數(shù)據(jù)被修改或刪除。此外，攻擊者還可以執(zhí)行管理員操作，例如關(guān)閉命令，從而中斷數(shù)據(jù)庫的功能。

為了防范SQL注入攻擊，請(qǐng)利用最低權(quán)限模型。在最低權(quán)限架構(gòu)下，只有絕對(duì)需要訪問關(guān)鍵數(shù)據(jù)庫的人員才能訪問。即使用戶在組織內(nèi)擁有權(quán)力或影響力，如果他們的工作與網(wǎng)絡(luò)的特定區(qū)域無關(guān)，也可能不被允許訪問。 

例如，即使首席執(zhí)行官有權(quán)了解網(wǎng)絡(luò)內(nèi)部情況，也可以禁止其訪問網(wǎng)絡(luò)區(qū)域。應(yīng)用最小權(quán)限策略不僅可以阻止惡意行為者訪問敏感區(qū)域，還可以防止那些出于好意卻意外留下登錄憑據(jù)、或離開電腦時(shí)工作站仍在運(yùn)行的人。

9. URL解釋

通過URL解析，攻擊者可以篡改和偽造某些 URL地址，并利用這些地址獲取目標(biāo)的個(gè)人和專業(yè)數(shù)據(jù)。這種攻擊也稱為URL投毒?！癠RL 解析”這一名稱源于攻擊者知道網(wǎng)頁URL信息的輸入順序。攻擊者隨后“解析”此語法，并據(jù)此找到進(jìn)入其無法訪問的區(qū)域的方法。

為了執(zhí)行URL解析攻擊，黑客可能會(huì)猜測(cè)一些 URL，用于獲取網(wǎng)站管理員權(quán)限或訪問網(wǎng)站后端以登錄用戶賬戶。一旦進(jìn)入目標(biāo)頁面，他們就可以操縱網(wǎng)站本身，或獲取用戶敏感信息。

例如，如果黑客試圖進(jìn)入名為 GetYourKnowledgeOn.com 的網(wǎng)站的管理頁面，他們可能會(huì)輸入 http://getyourknowledgeon.com/admin，這將帶他們進(jìn)入管理員登錄頁面。在某些情況下，管理員用戶名和密碼可能是默認(rèn)的“admin”和“Admin”，或者很容易猜到。攻擊者可能已經(jīng)猜出了管理員的密碼，或者將其縮小到幾個(gè)可能的密碼。攻擊者隨后會(huì)嘗試每一個(gè)密碼，獲得訪問權(quán)限，并可以隨意操縱、竊取或刪除數(shù)據(jù)。

為防止URL解析攻擊得逞，請(qǐng)對(duì)網(wǎng)站的任何敏感區(qū)域使用安全的身份驗(yàn)證方法。這可能需要多重身份驗(yàn)證 (MFA) 或由看似隨機(jī)的字符組成的安全密碼。

10. DNS欺騙

利用域名系統(tǒng) (DNS) 欺騙，黑客會(huì)篡改DNS 記錄，將流量發(fā)送到虛假或“被欺騙”的網(wǎng)站。一旦進(jìn)入欺詐網(wǎng)站，受害者可能會(huì)輸入敏感信息，而這些信息可能會(huì)被黑客利用或出售。黑客還可能構(gòu)建一個(gè)包含貶損或煽動(dòng)性內(nèi)容的劣質(zhì)網(wǎng)站，以損害競(jìng)爭(zhēng)對(duì)手公司的聲譽(yù)。

在DNS欺騙攻擊中，攻擊者利用了用戶誤以為他們?cè)L問的網(wǎng)站是合法的這一事實(shí)。這使得攻擊者能夠以無辜公司的名義實(shí)施犯罪，至少從訪問者的角度來看是這樣。

為防止DNS欺騙，請(qǐng)確保DNS服務(wù)器保持最新狀態(tài)。攻擊者的目標(biāo)是利用DNS服務(wù)器中的漏洞，而最新的軟件版本通常包含修復(fù)已知漏洞的補(bǔ)丁。

11. 會(huì)話劫持

會(huì)話劫持是多種中間人 (MITM) 攻擊類型之一。攻擊者控制客戶端和服務(wù)器之間的會(huì)話。被攻擊的計(jì)算機(jī)會(huì)將其IP地址替換為客戶端計(jì)算機(jī)的IP地址，服務(wù)器會(huì)繼續(xù)會(huì)話，而不會(huì)懷疑自己正在與攻擊者而不是客戶端進(jìn)行通信。這種攻擊非常有效，因?yàn)榉?wù)器會(huì)使用客戶端的 IP 地址來驗(yàn)證其身份。如果攻擊者的 IP 地址在會(huì)話進(jìn)行到一半時(shí)被插入，服務(wù)器可能不會(huì)懷疑存在安全漏洞，因?yàn)樗呀?jīng)建立了可信連接。

為防止會(huì)話劫持，請(qǐng)使用VPN訪問業(yè)務(wù)關(guān)鍵服務(wù)器。這樣，所有通信都會(huì)被加密，攻擊者無法訪問VPN創(chuàng)建的安全隧道。

12.暴力攻擊

暴力攻擊因其攻擊方法的“粗暴”或簡(jiǎn)單而得名。攻擊者只需猜測(cè)有權(quán)訪問目標(biāo)系統(tǒng)的用戶的登錄憑據(jù)即可。一旦猜對(duì)，即可成功入侵。

雖然這聽起來費(fèi)時(shí)費(fèi)力，但攻擊者經(jīng)常使用機(jī)器人來破解憑證。攻擊者向機(jī)器人提供一份他們認(rèn)為可以訪問安全區(qū)域的憑證列表。機(jī)器人會(huì)逐一嘗試，而攻擊者則靜待時(shí)機(jī)。一旦輸入正確的憑證，犯罪分子便獲得訪問權(quán)限。

為了防止暴力攻擊，請(qǐng)?jiān)谑跈?quán)安全架構(gòu)中設(shè)置鎖定策略。在一定次數(shù)的嘗試后，嘗試輸入憑證的用戶將被鎖定。這通常涉及“凍結(jié)”賬戶，這樣即使其他人使用其他IP地址從其他設(shè)備嘗試登錄，也無法繞過鎖定。

使用不包含常規(guī)單詞、日期或數(shù)字序列的隨機(jī)密碼也是明智之舉。這樣做很有效，因?yàn)槔?，即使攻擊者使用軟件嘗試猜測(cè)一個(gè)10位數(shù)的密碼，也需要多年不間斷的嘗試才能猜對(duì)。

13. 網(wǎng)絡(luò)攻擊

Web攻擊是指針對(duì)基于Web的應(yīng)用程序漏洞的威脅。每次在Web應(yīng)用程序中輸入信息時(shí)，都會(huì)啟動(dòng)一個(gè)生成響應(yīng)的命令。例如，如果您使用網(wǎng)上銀行應(yīng)用程序向某人匯款，您輸入的數(shù)據(jù)會(huì)指示該應(yīng)用程序進(jìn)入您的賬戶，取出資金，然后將其發(fā)送到其他人的賬戶。攻擊者會(huì)在這類請(qǐng)求的框架內(nèi)進(jìn)行操作，并利用它們?yōu)樽约褐\利。

一些常見的Web攻擊包括SQL注入和跨站腳本 (XSS)，本文稍后將對(duì)此進(jìn)行討論。黑客還會(huì)使用跨站請(qǐng)求偽造(CSRF) 攻擊和參數(shù)篡改。在 CSRF 攻擊中，受害者會(huì)被誘騙執(zhí)行有利于攻擊者的操作。例如，他們可能會(huì)點(diǎn)擊某個(gè)按鈕來啟動(dòng)一個(gè)腳本，該腳本旨在更改訪問 Web應(yīng)用程序的登錄憑據(jù)。黑客獲得新的登錄憑據(jù)后，就可以像合法用戶一樣登錄。

參數(shù)篡改是指調(diào)整程序員為保護(hù)特定操作而實(shí)施的安全措施——參數(shù)。操作的執(zhí)行取決于參數(shù)中輸入的內(nèi)容。攻擊者只需更改參數(shù)，即可繞過依賴于這些參數(shù)的安全措施。

為了避免Web攻擊，請(qǐng)檢查Web應(yīng)用程序是否存在漏洞并進(jìn)行修復(fù)。在不影響Web應(yīng)用程序性能的情況下修補(bǔ)漏洞的一種方法是使用反CSRF令牌。令牌在用戶瀏覽器和Web應(yīng)用程序之間交換。在執(zhí)行命令之前，會(huì)檢查令牌的有效性。如果驗(yàn)證通過，命令將通過；否則，命令將被阻止。還可以使用SameSite標(biāo)志，該標(biāo)志僅允許處理來自同一站點(diǎn)的請(qǐng)求，從而使攻擊者構(gòu)建的任何站點(diǎn)都無法進(jìn)行攻擊。

14.內(nèi)部威脅

有時(shí)，最危險(xiǎn)的攻擊者來自組織內(nèi)部。公司內(nèi)部人員尤其危險(xiǎn)，因?yàn)樗麄兺ǔ？梢栽L問各種系統(tǒng)，在某些情況下甚至擁有管理員權(quán)限，能夠?qū)ο到y(tǒng)或其安全策略進(jìn)行關(guān)鍵更改。

此外，組織內(nèi)部人員通常對(duì)其網(wǎng)絡(luò)安全架構(gòu)以及企業(yè)應(yīng)對(duì)威脅的方式有著深入的了解。這些知識(shí)可以用來訪問受限區(qū)域、更改安全設(shè)置或推斷發(fā)起攻擊的最佳時(shí)機(jī)。

防范組織內(nèi)部威脅的最佳方法之一是將員工對(duì)敏感系統(tǒng)的訪問權(quán)限限制在那些需要其履行職責(zé)的人員。此外，對(duì)于少數(shù)需要訪問權(quán)限的人員，請(qǐng)使用多重身份驗(yàn)證 (MFA)，這將要求他們結(jié)合至少一項(xiàng)已知信息和他們擁有的物理實(shí)體來訪問敏感系統(tǒng)。例如，用戶可能需要輸入密碼并插入U(xiǎn)SB設(shè)備。在其他配置中，用戶必須登錄手持設(shè)備才能生成訪問號(hào)碼。只有密碼和號(hào)碼都正確，用戶才能訪問安全區(qū)域。

雖然MFA本身可能無法阻止所有攻擊，但它可以更輕松地確定攻擊（或企圖攻擊）的幕后黑手——尤其是在只有相對(duì)較少的人被授予敏感區(qū)域訪問權(quán)限的情況下。因此，這種有限的訪問權(quán)限策略可以起到威懾作用。貴組織內(nèi)的網(wǎng)絡(luò)犯罪分子會(huì)知道，由于潛在嫌疑人的數(shù)量相對(duì)較少，因此很容易確定肇事者的身份。

15.特洛伊木馬

特洛伊木馬攻擊利用隱藏在看似合法程序中的惡意程序。當(dāng)用戶執(zhí)行看似無害的程序時(shí)，木馬中的惡意軟件會(huì)打開系統(tǒng)后門，黑客可以通過后門入侵計(jì)算機(jī)或網(wǎng)絡(luò)。這種威脅的名稱源于希臘士兵藏身于馬匹中潛入特洛伊城并贏得戰(zhàn)爭(zhēng)的故事。一旦“禮物”被接受并帶入特洛伊城內(nèi)，希臘士兵便會(huì)跳出馬匹發(fā)動(dòng)攻擊。同樣，毫無戒心的用戶可能會(huì)將看似無害的應(yīng)用程序引入系統(tǒng)，結(jié)果卻釀成隱藏的威脅。

為了防止木馬攻擊，應(yīng)指導(dǎo)用戶不要下載或安裝任何未經(jīng)驗(yàn)證來源的程序。此外，可以使用下一代防火墻 (NGFW) 檢查數(shù)據(jù)包中是否存在潛在的木馬威脅。

16. “路過式”攻擊

在路過式攻擊中，黑客會(huì)將惡意代碼嵌入不安全的網(wǎng)站。當(dāng)用戶訪問該網(wǎng)站時(shí)，腳本會(huì)自動(dòng)在其計(jì)算機(jī)上執(zhí)行，從而感染病毒?！奥愤^式”攻擊之所以被稱為“路過式”，是因?yàn)槭芎φ咧恍柙L問該網(wǎng)站即可“路過”網(wǎng)站，無需點(diǎn)擊任何內(nèi)容或輸入任何信息。

為了防范路過式攻擊，用戶應(yīng)確保所有電腦都運(yùn)行最新軟件，包括Adobe Acrobat和Flash 等可能在瀏覽互聯(lián)網(wǎng)時(shí)使用的應(yīng)用程序。此外，還可以使用網(wǎng)絡(luò)過濾軟件，可以在用戶訪問網(wǎng)站之前檢測(cè)出該網(wǎng)站是否安全。

17. XSS 攻擊

利用XSS（跨站腳本攻擊），攻擊者利用可點(diǎn)擊的內(nèi)容向目標(biāo)瀏覽器發(fā)送惡意腳本。當(dāng)受害者點(diǎn)擊該內(nèi)容時(shí)，腳本就會(huì)被執(zhí)行。由于用戶已經(jīng)登錄Web應(yīng)用程序的會(huì)話，因此Web應(yīng)用程序會(huì)將用戶輸入的內(nèi)容視為合法內(nèi)容。然而，執(zhí)行的腳本已被攻擊者篡改，導(dǎo)致“用戶”執(zhí)行了意想不到的操作。

例如，XSS攻擊可能會(huì)更改通過網(wǎng)上銀行應(yīng)用程序發(fā)送的轉(zhuǎn)賬請(qǐng)求的參數(shù)。在偽造的請(qǐng)求中，轉(zhuǎn)賬收款人的姓名會(huì)被替換為攻擊者的姓名。攻擊者還可能更改轉(zhuǎn)賬金額，從而獲得比目標(biāo)最初打算轉(zhuǎn)賬金額更多的金額。

預(yù)防XSS攻擊最直接的方法之一是使用允許實(shí)體的白名單。這樣，任何未經(jīng)批準(zhǔn)的條目都不會(huì)被 Web 應(yīng)用程序接受。您還可以使用一種稱為“清理”的技術(shù)，該技術(shù)會(huì)檢查輸入的數(shù)據(jù)，看看其中是否包含任何可能有害的內(nèi)容。

18.竊聽攻擊

竊聽攻擊是指惡意行為者在網(wǎng)絡(luò)傳輸過程中攔截流量。通過這種方式，攻擊者可以收集用戶名、密碼和其他機(jī)密信息，例如信用卡信息。竊聽可以是主動(dòng)的，也可以是被動(dòng)的。

主動(dòng)竊聽是指黑客在網(wǎng)絡(luò)流量路徑中插入軟件來收集信息，并進(jìn)行分析以獲取有用數(shù)據(jù)。被動(dòng)竊聽攻擊則不同，黑客會(huì)“監(jiān)聽”或竊聽傳輸，尋找可以竊取的有用數(shù)據(jù)。

主動(dòng)和被動(dòng)竊聽都屬于中間人攻擊 (MITM)。預(yù)防此類攻擊的最佳方法之一是加密數(shù)據(jù)，無論黑客是主動(dòng)竊聽還是被動(dòng)竊聽，都能防止數(shù)據(jù)被利用。

19.生日襲擊

在生日攻擊中，攻擊者濫用了一項(xiàng)安全功能：哈希算法，該算法用于驗(yàn)證消息的真實(shí)性。哈希算法是一種數(shù)字簽名，消息接收者在接受消息真實(shí)性之前會(huì)對(duì)其進(jìn)行檢查。如果黑客能夠創(chuàng)建與發(fā)送者附加到消息中的哈希值相同的哈希值，那么他們只需用自己的哈希值替換發(fā)送者的消息即可。接收設(shè)備會(huì)接受該消息，因?yàn)樗鼡碛姓_的哈希值。

“生日攻擊”這個(gè)名稱源于“生日悖論”。該悖論基于這樣一個(gè)事實(shí)：在一個(gè)有23個(gè)人的房間里，有超過50%的概率有兩個(gè)人生日相同。因此，雖然人們認(rèn)為自己的生日（就像哈希值一樣）是獨(dú)一無二的，但實(shí)際上并沒有很多人想象的那么獨(dú)特。

為了防止生日攻擊，請(qǐng)使用更長的哈希值進(jìn)行驗(yàn)證。哈希值中每增加一位數(shù)字，創(chuàng)建匹配哈希值的概率就會(huì)顯著降低。

20.惡意軟件攻擊

惡意軟件是惡意軟件的統(tǒng)稱，因此其詞首以“mal”開頭。惡意軟件會(huì)感染計(jì)算機(jī)，改變其運(yùn)行方式、破壞數(shù)據(jù)，或監(jiān)視經(jīng)過的用戶或網(wǎng)絡(luò)流量。惡意軟件可以從一臺(tái)設(shè)備傳播到另一臺(tái)設(shè)備，也可以駐留在原地，只影響其宿主設(shè)備。

上面描述的幾種攻擊方法可能涉及惡意軟件的形式，包括 MITM 攻擊、網(wǎng)絡(luò)釣魚、勒索軟件、SQL 注入、特洛伊木馬、驅(qū)動(dòng)攻擊和 XSS 攻擊。

在惡意軟件攻擊中，軟件必須安裝在目標(biāo)設(shè)備上。這需要用戶采取行動(dòng)。因此，除了使用能夠檢測(cè)惡意軟件的防火墻外，還應(yīng)告知用戶應(yīng)避免使用哪些類型的軟件、點(diǎn)擊前應(yīng)驗(yàn)證哪些類型的鏈接，以及不應(yīng)接觸哪些電子郵件和附件。