網路攻擊的四大動機與十種數據泄露攻擊技術

網路安全最令人沮喪的事實之一，就是威脅的不斷進化和數據泄露攻擊技術的多種多樣。漏洞補了一個又冒一個；攻擊技術封了一個再來一堆。Hackmaggedon.com連續編寫網路攻擊報告多年，感謝它的不懈努力，讓我們可以一探網路攻擊動機，總結出最常見的10種數據泄露技術。

2017年數據泄露攻擊超過850起，其中很多都導致了客戶個人信息和財務信息被盜。上升的還不僅僅是數據泄露事件數量，其造成的損失更是飛漲。《紐約時報》報道，到2017年3月，塔吉特百貨已為其發生於2013年11月的數據泄露付出了超過2.02億美元的代價。美國最大醫療保險公司Anthem最近剛剛同意支付1.15億美元用於解決源自2015年客戶信息被黑事件的集體訴訟問題。

網路攻擊動機

網路攻擊動機各異，Hackmageddon.com給出了下面4個：

網路犯罪

網路間諜

激進黑客主義

網路戰

網路犯罪

近3/4的網路攻擊在本質上就是犯罪，比如從金融賬戶中直接盜取金錢，偷竊信用卡信息，索要贖金等等。2014年塔吉特百貨遭遇的網路攻擊就是一個典型的例子。截至目前，網路犯罪已成為公司企業和監管機構的關注重點。

網路間諜

緊隨其後的就是網路間諜。此類攻擊是為了獲取交易秘密和其他機密商業信息。2017年3月，鄧白氏公司52GB資料庫被盜，內含3370萬各大公司職員及政府工作人員的信息。該資料庫被其競爭對手公司用於發起針對性電子郵件營銷，鄧白氏公司為此付出了慘重的代價。在可確定攻擊動機的案例中，網路間諜攻擊佔比10-15%。

激進黑客主義

激進黑客主義時常見諸報端，但基本上被公司企業無視，因為其目的往往是社會性或政治性的，不涉及金融財務。比如說，2017年2月，某匿名黑客組織搞攤了疑似託管兒童色情內容的多家暗網網站。與網路間諜類似，激進黑客主義攻擊的數量不多，佔比也在10-15%左右，在不同國家隨各個競選周期有漲有落。

網路戰

政府支持的攻擊或僅僅是為了製造混亂的網路攻擊，都被定義為網路戰。基本上，網路戰就是發生在互聯網和信息流上的廣義的戰爭。這種網路攻擊是每年發生頻率最低的一類。

10種常見數據泄露攻擊技術

如前文所述，攻擊技術一直在進化。10年前的常見攻擊技術與近些年的常見技術完全不同。這種變革不僅僅是代碼驅動的，設備也是驅動因素之一。安卓移動設備已成網路犯罪重災區，突破移動設備的攻擊技術數量也隨之倍增。

最近幾年最常見的10大攻擊技術如下：

1. 惡意軟體/銷售終端(PoS)

可能1/3的攻擊都是奔著聯網PoS去的，為了盜取信用卡和借記卡信息。家得寶和塔吉特就是此類攻擊的受害者。

2. 勒索軟體

2017年可謂勒索軟體年，WannaCry簡直讓全世界各大公司、政府機構、學校、醫院等等團體和個人「想哭」。這種惡意軟體的常見路數是「不付贖金就曝光你的秘密」，或者「不支付贖金就讓你用不了自己的電腦」。還有另一種勒索方式是，「想隱瞞自己被黑的事實？先把贖金付了吧！」Uber遭遇到的就是這後一種勒索。

3. 賬戶劫持

個人賬戶、公司賬戶和雲賬戶都會被劫持，一旦電子郵件、計算機和系統賬戶被劫持，黑客就可能入手賬戶擁有者的個人信息、財務信息，用以直接從金融賬戶中轉賬，盜刷信用卡/借記卡，或者進行敲詐勒索。

4. SQL代碼注入

因為本來就是為網上查詢和互動設計的，所以資料庫網站及應用特別扛不住SQL注入攻擊。如果防護不佳，黑客可通過Web應用向資料庫伺服器發送代碼，無需口令就能訪問伺服器，然後獲取到該伺服器連接的系統或網路的訪問權，之後就可以為所欲為了，比如上傳惡意軟體、劫持賬戶之類的。

5. 拒絕服務

單機拒絕服務或分散式拒絕服務。後者是網路戰和激進黑客主義的主力拒絕服務攻擊方式，黑客從成百上千乃至數十萬個源頭向目標系統或網站發送流量洪水，造成目標流量過載，帶寬耗盡，致其系統宕機，網站下線。而且，此類攻擊往往還會在大量流量的掩護下混入木馬和其他惡意軟體。

6. DNS劫持

類似域名盜竊，黑客將用戶的域名查詢請求重定向到自己控制下的域名伺服器(DNS)，通過虛假「輸入支付信息」頁面來盜取Web流量或金融信息，或者誘騙Web用戶下載惡意軟體。

7. 惡意跨框架/Java腳本

與DNS劫持類似，惡意軟體在受害設備上載入貌似合法的頁面，盜取用戶輸入的數據，或將用戶導引到黑客控制的網站。

8. 零日漏洞

新型散布技術。惡意軟體通常在網上廣為傳播，但零日漏洞不一樣：針對某個程序或系統漏洞的惡意軟體會先行放出，但其激活要等到漏洞被發現的時候才進行（所謂「零日」），所有惡意動作都在「零日」完成——數據竊取、泄露、下載惡意代碼等等。由於惡意軟體並不是即時激活，便可在在「零日」之前有足夠的時間悄悄擴散。

9. 暴力破解

不耍任何花招，單純靠自動化試錯來定位口令或數據加密標準密鑰。比如說，如果口令有5位，暴力破解程序就挨個嘗試數字和字母的每一種排列組合，直到發現正確的口令。

10. 憑證填充

暴力破解的另一版本——自動反覆嘗試利用部分登錄信息獲取賬戶許可權。考慮到大量數據泄露事件已經讓數億人的信息全部或部分泄露，該技術可謂危害巨大。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！