渗透测试（入侵检测）基本术语（二）

1.ICMP协议

用于在IP主机、路由器之间传递控制消息，包括网络通不通、主机是否可达、路由是否可用等消息，常用的Ping命令就是基于ICMP协议的，该协议对于网络安全有着重要意义，它本身的特性决定了它非常容易被用于攻击网络上的路由器和主机，例如海信主页被黑事件就是以ICMP攻击为主，操作系统规定ICMP数据包最大尺寸不超过64KB，因而如果向目标主机发送超过64KB上限的数据包，该主机就会出现内存分配错误，进而导致系统耗费大量的资源处理，最终瘫痪死机。

2.EXP/Exploit

漏洞利用代码，运行之后对目标进行攻击。

3.POC/Proof of Concept

漏洞验证代码，检测目标是否存在相应的漏洞。

4.Payload

成功exploit之后，真正在目标系统执行的代码或指令。

5.Shellcode

是Payload的一种，由于其建立正向/反向shell而得名。

6.软件加壳

“壳”是一段专门负责保护软件不被非法修改或反编译的程序，它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。

7.软件脱壳

利用相应的工具，把软件的“壳”去除，还原文件的本来面目。

8.蠕虫病毒

利用WINDOWS的开放性特点，特别是COM到COM+的组件编程思路，一个脚本程序能调用功能更大的组件来完成自己的功能，以VB脚本病毒为例，它们都是把VBS脚本文件加在附件中，使用.HTM、VBS等欺骗性的文件名，蠕虫病毒的主要特性有：自我复制、强传播性、潜伏性、特定的触发性、很大的破坏性。

9.代理（Proxy）

接受来自客户机的流量，并代表客户机与服务器交互，代理可用来过滤应用级别的指定类型的流量或缓存信息以提高性能，许多防火墙都是依赖代理进行过滤。

10.CMS

内容管理器。

11.VPS

VPS主机是一项服务器虚拟化和自动化技术，它采用操作系统虚拟化技术。操作系统虚拟化的概念是基于共用操作系统内核的，这样虚拟服务器就无需额外的虚拟化内核的过程，因而虚拟过程资源损耗就更低，从而可以在一台物理服务器上实现更多的虚拟化服务器，这些VPS主机以最大化的效率共享硬件、软件许可证以及管理资源，每一个VPS主机均可独立进行重启，并拥有自己的root访问权限、用户、IP地址、内存、过程、文件、应用程序、系统函数库以及配置文件。

12.cve

通用漏洞披露。

13.CNVD

国家信息安全漏洞共享平台。

14.0day

0day漏洞是指负责应用程序的程序员或供应商所未知的软件缺陷。因为该漏洞未知，所以没有可用的补丁程序。

15.1day

1day漏洞指的是那些已经被公开披露，但在公开后的第一天内就被开发者发布了修复程序的漏洞。这类漏洞的特点是，尽管它们已经被公开，但由于开发者迅速响应并发布了补丁，攻击者利用这些漏洞的机会相对较少。与0day漏洞相比，1day漏洞的安全风险相对较低，因为它们得到了更快的响应和修复。

16.Nday

已经被公布出来的0day漏洞，这种漏洞很少被利用，因为大多都已经被修复了。这类漏洞的危险程度介于0day和1day之间，其风险随着用户更新补丁的进度而变化。随着时间的推移，nday漏洞的威胁会逐渐减小。比如，2017年5月12日爆发的永恒之蓝漏洞，虽然微软在 WannaCry 爆发之前就已经对其发布了补丁，但从爆发至今，还一直持续的被黑客所利用。

0-day，只有你知道的一个漏洞

1-day，刚刚公布的漏洞（没有超过一天）

n-day，这个漏洞已经公布出来了N天

0day 漏洞是指漏洞被公开披露后即被攻击者利用的漏洞，1day 漏洞是指在第一天内发布修复程序的漏洞，而 nday 漏洞则表示补丁修复延迟的漏洞。

17.APT攻击

高级可持续性攻击，是指组织（特别是政府）或者小团体利用先进的攻击手段对特定目标进行长期性网络攻击的攻击形式，具有极强的隐蔽性、潜伏期长、持续性强、目标性强。

18.渗透测试

包括黑盒测试、白盒测试、灰盒测试。

19.洪水攻击

比较常用的一种攻击技术，实施简单但威力巨大，大多是无视防御的。攻击者对网络资源发送过量数据时就发生了洪水攻击，这个网络资源可以是路由器、交换机、主机、应用等，洪水攻击将攻击流量比作洪水，只要攻击流量足够大，就可以将防御手段打穿，DDoS攻击便是洪水攻击的一种。

20.SYN攻击

利用操作系统TCP协议设计上的问题

20.DOS攻击

拒绝服务攻击，攻击者通过利用漏洞或发送大量的请求导致攻击对象无法访问网络或者网站无法被访问。

21.DDOS攻击

分布式DOS攻击，常见的UDP、SYN、反射放大攻击，通过许多台肉鸡一起向目标主机发送网络请求信息，导致网络堵塞而不能正常上网。

22. 反弹端口

受害者服务器的某一个端口不能访问，我们通过反弹端口的形式，让攻击者能够访问该端口，也叫端口转发。

23.鱼叉攻击

鱼叉攻击是计算机病毒是黑客攻击方式之一。将木马程序作为电子邮件的附件，并起上一个极具诱惑力的名称，发送给目标电脑，诱使受害者打开附件，从而感染木马。、

在去年5月22日新疆发生了致死31人的暴力恐怖性事件之后，5月28日，该黑客组织曾发送名为“新疆暴恐事件最新通报”的电子邮件及附件，引诱目标人群“中招”。

该组织曾发送过的电邮名称还包括“公务员工资收入改革方案”等一系列社会高度关注的热点，令人防不胜防。

24.钓鲸攻击

钓鲸攻击是一种高级的网络诈骗手段，主要针对公司、企业等大型组织中的高层管理者和高管人员，攻击者通常以假冒知名公司或政府机构的名义，向目标发送电子邮件或短信，通过虚假的紧急通知、重要文件等欺诈手段，诱骗目标大量转账、提供机密信息或下载恶意软件。

25.水坑攻击

在受害者必经之路设置一个水坑，就是陷进。常见的做法是攻击者分析攻击目标的上网活动规律，经常访问哪些网站，然后利用网站漏洞在其中植入攻击代码，用户访问该网站就中招了。这种方式隐蔽性高，成功率较高。但有一定条件，网站要有漏洞可利用，以便用于部署恶意代码。用户访问被“加工”过的网站时，攻击代码会在客户端植入恶意代码或者直接窃取用户信息，有些就是将用户跳转到其他恶意网站。这些恶意网站中，恶意软件正等待将其与后续的网络钓鱼或勒索软件攻击挂钩。

26.C2通信

黑客或攻击者与受感染设备（如被攻击的计算机、网络设备或机器人网络中的设备）之间的通信方式。 通过这种通信，攻击者能够远程控制受害者的设备、发起进一步的攻击、窃取数据、或执行其他恶意操作。 简单来说，C2 是指攻击者与受控系统之间的“命令和控制”通信链路。

27.供应链攻击

攻击者利用供应链中的环节对目标进行攻击的一种方式。供应链包括硬件、软件、服务等各种环节，攻击者可以通过破坏、篡改、植入恶意代码等手段，对供应链中的某个环节进行攻击，从而影响整个供应链的安全。

在某些平台下载软件的时候，如果遭遇捆绑软件，就得小心供应链攻击了。

有时候使用某些编程语言时，比如java、python等，在导包时，如果那个包被人植入了病毒，此时也可能会受到供应链攻击。

2020年的SolarWinds事件是供应链攻击的另一个典型案例。攻击者在SolarWinds的Orion平台软件更新中植入了恶意代码，影响了数千家使用该平台的组织。这一事件不仅暴露了供应链安全的脆弱性，也引起了全球对供应链安全的关注。

28.渗透

扫描检测网络设备及系统有没有安全漏洞，有的话就可能被入侵，渗透成功就是系统被入侵。

29.横移

攻击者入侵后，从立足点在内部网络进行拓展，搜寻控制更多的系统。

30.暗链

看不见的网站链接，暗链在网站中的链接做得非常隐蔽，短时间内不易被搜索引擎察觉。和友情链接有相似之处，可以有效提高网站权重。

31.爆库

入侵网站的一种手法，通过恶意代码让网站爆出一些敏感数据。

32.加密机

主机加密设备，加密机和主机之间使用TCP/IP协议通信，所以加密机对主机的类型和主机操作系统无任何特殊的要求。

33.CA证书

CA是由认证机构服务者签发，是数字签名的技术基础保障，也是网上实体身份的证明，能够证明某一实体的身份及其公钥的合法性，证明该实体与公钥二者之间的匹配关系。证书是公钥的载体，证书上的公钥与实体身份相绑定。

34.SSL证书

SSL证书通过在客户端浏览器和web浏览器之间建立一条SSL安全通道，对传送的数据进行加密和隐藏；确保数据在传送中不被改变，保证数据的完整性，现已成为该领域中全球化的标准。

35.IDS

入侵检测系统，用于在黑客发起攻击前检测到攻击，并加以拦截，IDS不同于防火墙，防火墙只能屏蔽入侵，而IDS却可以在入侵发生之前，通过一些信息来检测到即将发生的攻击并作出反应。

36.NIDS

网络入侵检测系统。

根据网络入侵行为，NIDS的运行方式有两种，一种是在目标主机上运行以监测其本身的通信信息，另一种是在一台单独的机器上运行以监测所有网络设备的通信信息，比如Hub、路由器。

37.IPS

入侵防御系统，目的在于及时识别攻击程序或有害代码的克隆和变种，采取预防措施，先期阻止入侵，防患于未然，或者至少使其危害性充分降低，IPS一般作为防火墙和防病毒软件的补充。

38.NAC

网络准入控制，目的是防止病毒和蠕虫对企业安全造成危害，借助NAC，可以只允许合法的、值得信赖的终端设备（如PC、服务器、PDA）接入网络，而不允许其他设备接入。NAC网络安全解决方案通过对接入用户进行安全控制，实现“只有合法的用户、安全的终端才可以接入网络”，隔离非法、不安全的用户和终端，或者仅允许他们访问受限的资源，以此提升整个网络的安全防护能力。

39.漏扫

漏洞扫描。

40.UTM

统一威胁管理。将不同设备的安全能力（包括入侵检测、防火墙、反病毒）集中在同一个网关上，实现统一管理和运维。它是一种功能全面的安全产品，作为单个产品能提供多种安全功能，包括反病毒、反恶意软件、防火墙、入侵防御、URL过滤等功能。因此，可以通过单一管理平台监控所有威胁和安全相关活动，通过UTM，用户可以全面、简化地了解安全架构的所有要素。

41.网闸

使用带有多种控制功能的固态开关读写介质，连接两个独立主机系统的信息安全设备，由于两个独立的主机系统通过网闸进行隔离，只能以数据文件形式进行无协议摆渡。

42.堡垒机

堡垒机是一种专门用于增强系统和网络安全的设备或服务，常用于企业的IT基础架构中。它可以看作是网络和系统之间的安全桥梁，负责对运维人员的操作进行集中管理和严格控制。

它在特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。

堡垒机是从跳板机（也叫前置机）的概念演变过来的。早在2000年左右，一些中大型企业为了能对运维人员的远程登录进行集中管理，会在机房部署一台跳板机。跳板机其实就是一台unix/windows操作系统的服务器，所有运维人员都需要先远程登录跳板机，然后再从跳板机登录其他服务器中进行运维操作。

但跳板机并没有实现对运维人员操作行为的控制和审计，使用跳板机过程中还是会有误操作、违规操作导致的操作事故，一旦出现操作事故很难快速定位原因和责任人。此外，跳板机存在严重的安全风险，一旦跳板机系统被攻入，则将后端资源风险完全暴露无遗。同时，对于个别资源（如telnet）可以通过跳板机来完成一定的内控，但是对于更多更特殊的资源（ftp、rdp等）来讲就显得力不从心了。

人们逐渐认识到跳板机的不足，进而需要更新、更好的安全技术理念来实现运维操作管理。需要一种能满足角色管理与授权审批、信息资源访问控制、操作记录和审计、系统变更和维护控制要求，并生成一些统计报表配合管理规范来不断提升IT内控的合规性的产品。在这些理念的指导下，2005年前后，堡垒机开始以一个独立的产品形态被广泛部署，有效地降低了运维操作风险，使得运维操作管理变得更简单、更安全。

43. DLP

数据防泄漏，通过数字资产的精确识别和策略制定，主要用于防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业。

44.VPN

虚拟专用网，在公用网络上建立专用网络，进行加密通讯，通过对数据包的加密和数据包目标地址的转换实现远程访问。

45.SD-WAN

软件定义局域网。

45.网关

通常指路由器、防火墙、IDS、VPN等边界网络设备。

46.WAF

Web应用防火墙，通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的产品。

47.SOC

安全运营中心通常被简称为SOC(Security Operations Center)，是公司内24x7全天候工作的核心团队，时刻监视着网络活动，及时应对安全威胁。SOC团队的目标是使用一系列的解决方案或工具，再结合工作流，最大程度上缓解网络攻击。

48.蜜罐

是指一个包含漏洞的系统，它模拟一个或多个易受攻击的主机，给黑客提供一个容易攻击的目标。由于蜜罐没有任务要完成，因此所有连接的尝试都应被视为可疑的，蜜罐的另一个用途是拖延攻击者对其真正目标的攻击，让攻击者在蜜罐上浪费时间。

蜜罐类产品包括蜜网、蜜系统、蜜账号等。

49.沙箱

用于安全地运行程序的机制，常用来执行那些非可信程序，非可信程序中的恶意代码对系统的影响将会被限制在沙箱内而不会影响到系统的其他部分。

50.沙箱逃逸

一种识别沙箱环境，并利用静默、欺骗等技术，绕过沙箱检测的现象。

51.边界防御

以网络边界为核心的防御模型，以静态规则匹配为基础，强调把所有的安全威胁都挡在外网。

52.南北向流量

数据中心内、外部通信产生的流量。

53.东西向流量

数据中心内部不同主机之间互相通信所产生的流量。

54.规则库

网络安全的核心数据库，类似于黑白名单，用于存储大量安全规则，一旦访问行为和规则库完全匹配，则被认为是非法行为，有人将规则库比作网络空间的法律。

55.大数据安全分析

区别于传统被动规则匹配的防御模式，以主动收集和分析大数据的方法，找出其中可能存在的安全威胁，也被称为数据驱动安全。

56.EPP

端点保护平台，用于防止针对终端的恶意软件、恶意脚本等安全威胁。

57.EDR

端点检测与响应，通过对端点进行持续检测，通过应用程序对操作系统调用等异常行为分析，检测和防护未知威胁，最终达到杀毒软件无法解决未知威胁的目的。

58.探针

部署在网络拓扑的关键节点上，用于收集和分析流量和日志，发现异常行为，并对可能到来的攻击发出预警。

59.零信任

零信任代表了新一代的网络安全防护理念，它的关键在于打破默认的“信任”，用一句通俗的话来概括，就是“持续验证，永不信任”。 默认不信任企业网络内外的任何人、设备和系统，基于身份认证和授权重新构建访问控制的信任基础，从而确保身份可信、设备可信、应用可信和链路可信。 基于零信任原则，可以保障办公系统的三个“安全”：终端安全、链路安全和访问控制安全。

60.可信计算

可信计算技术是一种基于密码学的计算机安全技术，其核心目标是确保硬件、操作系统、应用等组件的完整性，从而确保业务运行在可信的环境中。

61.拟态防御

拟态防御是一种主动防御理论，是为了应对网络空间中不同领域相关应用层次上基于未知漏洞、后门、病毒或木马等未知威胁，提供具有普适创新意义的防御理论和方法拟态防御通过构建一种动态变化的多重并行协同架构，从源头上将安全基因植根到网络信息系统之中，建立起具有内生效应的免疫体系，从而有效解决利用未知漏洞、未知后门的未知攻击的防御难问题

62.CVE

即通用漏洞披露，它是MITRE公司维护和更新的安全漏洞列表，列表中的每个条目都会有一个唯一的CVE编号，即CVE ID，供安全研究员和受攻击的软件供应商使用，以便确定和回应安全漏洞。CVE条目包含了与CVE ID相关的漏洞的描述性数据。

63.数字脱敏

数据脱敏也叫数据的去隐私化，在我们给定脱敏规则和策略的情况下，对敏感数据比如 手机号、银行卡号 等信息，进行转换或者修改的一种技术手段，防止敏感数据直接在不可靠的环境下使用。

64.代码审计

代码审计(Code Audit) 顾名思义就是通过阅读源代码，从中找出程序源代码中存在的缺陷或安全隐患，提前发现并解决风险，这在甲方的SDL建设中是很重要的一环。而在渗透测试中，可以通过代码审计挖掘程序漏洞，快速利用漏洞进行攻击达成目标。

65.DevSecOps

DevSecOps 是“开发、安全和运维”的缩写。它是一种文化取向、自动化方法和平台设计方法，将安全性作为整个 IT 生命周期的共同责任，它是软件开发中的一种思维，每个人都应对应用程序安全负责。通过将开发人员与IT运营集成在一起，并使每个人都专注于做出更好的安全决策，开发团队希望以更快的速度和更高的效率提供更安全的软件。

66.SRC

安全应急响应中心（SRC, Security Response Center），是企业用于对外接收来自用户发现并报告的产品安全漏洞的站点。说白了，就是连接白帽子和企业的平台，你去合法提交漏洞给他们，他们给你赏金。 目前国内有两种平台，一种是漏洞报告平台，另一种就是企业SRC，这里也给大家强调一下，一定不要非法挖洞，要注意挖洞尺度和目标要有授权！做一个遵纪守法的好公民！