常见的安全攻击类型有哪些？

Question

常见的安全攻击类型有哪些？

Accepted Answer

理解常见的**攻击类型** — 攻击者如何试图破坏系统 — 是防御的基础。主要类别包括 injection、XSS、CSRF、brute force、social engineering、DDoS 等。

## Web 应用程序攻击

```text
INJECTION (SQL, command, etc.) → inject malicious code via input (manipulate queries/commands)
XSS (Cross-Site Scripting) → inject scripts that run in victims' browsers
CSRF (Cross-Site Request Forgery) → trick a logged-in user's browser into making unwanted
  requests (perform actions as them without consent)
BROKEN ACCESS CONTROL → access/modify what you're not authorized to (e.g. IDOR)
SSRF → trick the server into making requests it shouldn't
```

## 身份验证/访问权限攻击

```text
BRUTE FORCE → try many passwords/keys until one works (rate-limit, lock out, MFA)
CREDENTIAL STUFFING → use leaked username/password pairs from other breaches
SESSION HIJACKING → steal session tokens/cookies to impersonate a user
PHISHING / SOCIAL ENGINEERING → trick people into revealing credentials/info (the human
  is often the weakest link)
```

## 其他攻击

```text
DDoS (Distributed Denial of Service) → flood a system to make it unavailable
MAN-IN-THE-MIDDLE (MITM) → intercept communication (HTTPS prevents this)
MALWARE / ransomware; SUPPLY CHAIN attacks (compromise dependencies/build tools)
ZERO-DAY → exploit unknown/unpatched vulnerabilities
```

## 为什么这很重要

理解常见的安全攻击类型是基础知识，因为**你无法防御自己不理解的威胁**，所以了解攻击者的操作方式对于构建安全系统至关重要，这是重要的安全知识。

对攻击类型的认识 — 攻击者如何试图破坏系统 — 是防御的基础，因为每种攻击类型都有相应的防御措施，而理解威胁会激发和指导防护措施。

理解 **Web 应用程序攻击** — **injection**（通过输入操纵查询/命令）、**XSS**（脚本在受害者浏览器中运行）、**CSRF**（欺骗已登录用户的浏览器发送不需要的请求）、**broken access control**（访问未授权资源）和 **SSRF** — 涵盖了开发者必须防御的最常见的应用程序级威胁。

理解 **身份验证/访问权限攻击** — **brute force**（尝试多个密码，通过速率限制和 MFA 来对抗）、**credential stuffing**（使用泄露的凭证）、**session hijacking**（窃取令牌）和 **phishing/social engineering**（欺骗人员，因为人通常是最薄弱的环节） — 涵盖了攻击者如何针对访问权限。

理解 **其他攻击** — **DDoS**（泛滥导致不可用）、**man-in-the-middle**（拦截通信，通过 HTTPS 来防止）、malware、**supply chain attacks**（破坏依赖 — 日益重要）和 zero-days — 扩展了对威胁格局的认识。

了解这些攻击类型使开发者能够识别威胁、理解为什么存在特定防御措施（针对 injection 的 parameterized queries、针对 XSS 的 escaping、针对 brute force 的 MFA、针对 MITM 的 HTTPS），以及构建适当的保护。

由于防御威胁需要理解威胁，而且每种常见的攻击类型都有相应的防御措施，由于对主要攻击（injection、XSS、CSRF、brute force、phishing、DDoS、supply chain）的认识是构建安全系统的基础，理解常见的安全攻击是基础、必要的安全知识 — 是所有防御性安全的基础威胁认识，对于识别威胁和理解为什么存在安全措施是必要的，也是任何构建必须抵抗软件所面临的持续、多样化攻击的系统的开发者的基准。