术语表
CVE、CVSS、RCE、SSRF、XSS、SPF/DKIM/DMARC——每个术语都配有一句话答案和通俗解释。
什么是影子 AI？公司看不见的 AI 使用有哪些风险，组织和个人该怎么做
影子 AI 是员工把公司未批准或未管理的 AI 工具（聊天机器人、AI 浏览器扩展、编程助手、会议记录 AI、连接到工作账号的 AI 代理）用于工作，是影子 IT 的 AI 版。主要风险：输入的机密或个人信息可能被提供方保存，并视方案和设置被用于训练（个人版与企业版…
什么是后门——攻击者如何保留再次进入的路径，以及如何发现
后门是攻击者为了绕过正常认证、随时再次进入而植入的隐藏入口。它通常出现在首次入侵之后，把一次入侵变成持续的访问；也可能藏在被投毒的依赖包里一起进来。它与正当远程维护的区别在于：是否经过授权、是否有人知道、是否留在日志里。防御要点：最小权限、…
GDPR 是什么：欧盟的个人数据保护规则与泄露时的通知义务
GDPR（General Data Protection Regulation）是保护欧盟境内个人数据的欧盟综合性规则，只要向欧盟的人提供服务，即便是境外商户也可能适用。它要求合法依据（如同意）、明确目的、数据最小化、当事人权利（查阅/删除），以及向监管当局的泄露通知（原则上 72…
OWASP Top 10 是什么：Web 应用十大安全风险的权威清单
OWASP Top 10 是非营利组织 OWASP 每隔数年发布一次的『Web 应用十大最严重风险』清单，被广泛用作开发者与运营者的共同语言。现行的 2025 年版（2025 年 11 月公布）仍以『访问控制缺陷（Broken Access Control）』居首；安全配置错误升至第二，并新增了『软…
PCI DSS 是什么：处理信用卡数据所需遵守的安全标准
PCI DSS（Payment Card Industry Data Security Standard）是存储、处理或传输卡数据的商户需要满足的国际安全标准，由各卡组织制定，要求网络保护、存储数据加密、最小权限访问控制、监控/日志、脆弱性管理等。实务中最安全的做法是：干脆不要自己持有卡号，…
公钥密码是什么：用公钥与私钥这对密钥进行加密与签名
公钥密码使用『公钥（可以随意分发）』和『私钥（只有本人持有）』这一对密钥。用公钥加密的内容，只能由对应的私钥解密；用私钥生成的签名，可以用公钥来验证。这种非对称性正是 TLS（HTTPS）密钥交换、数字签名与 Passkey 的基石。防御要点：不要自造加密（…
什么是恶意软件？类型、感染途径与基本防御
恶意软件（Malicious Software）是为危害你的设备或数据而制作的不良软件的统称。病毒·蠕虫·木马·勒索软件·间谍软件·僵尸程序都是它旗下的一部分。无论外表多么不同，防御方式都是共通的三项：防止感染（更新·不打开可疑附件/宏·MFA）、检测（EDR·杀毒软件）…
什么是一次性密码（OTP）？TOTP/HOTP/SMS 的区别与局限
一次性密码（OTP）是一次使用后即失效的短命一次性验证码。类型有：身份验证器应用的 TOTP（基于时间）、HOTP（基于计数器）、以及 SMS-OTP。它对泄露和重用的密码很强，常作为 2FA 中「你拥有的东西」这一因素。但它有局限：中间人（AiTM）钓鱼能通过假网站…
什么是双因素认证（2FA）— 与两步验证的区别、各方式的强弱
双因素认证（2FA）是在「你知道的东西（密码）」之外，叠加「你拥有的东西・你本身（验证码、密钥、生物识别）」这类不同类别的证明，从而强化本人验证的机制。严格来说它与常被混淆的两步验证（确认两次，未必是两个类别）并不相同。强度取决于方式：SMS/邮…
什么是 Let's Encrypt——让 HTTPS 自动化的免费证书颁发机构
Let's Encrypt ＝一家免费、自动化的 TLS 证书颁发机构（CA）。ACME 协议会自动验证域名控制权，因此签发与续期都无需人工。证书是有意设计成短有效期（90 天）的——以缩小密钥泄露的时间窗口并强制自动化。现实中最大的事故并非攻击，而是续期出了故障却无人…
什么是 OpenSSL？负责 HTTPS 加密的库，以及如何保证它的安全
OpenSSL＝支撑 HTTPS（TLS/SSL）与加密的开源库。多数人从不直接编写它——而是通过 Web 服务器、操作系统或语言运行时继承而来。正因如此，一个 bug 的影响极其广泛（Heartbleed 就是经典案例）。防御之道：弄清你的技术栈使用的是哪个 OpenSSL、不要运行 EOL…
通行密钥是什么：公开密钥登录、抗钓鱼与同步
通行密钥用私钥签名完成认证，登录服务保存公钥。同步通行密钥可在设备间同步加密的凭据，设备绑定型则不同步。能否构成 MFA 取决于要求的用户验证，设备、同步账户和恢复流程仍需保护。
密码哈希是什么？用不可逆的单向变换安全保存密码
密码哈希＝用不可逆的单向变换来保存密码的方法。明文保存不可取。与加密不同，它无法被解密，这正是优点。但直接使用 MD5/SHA-256 会被彩虹表或暴力破解攻破。正确做法是『每个用户不同的 salt』＋『故意做得很慢的专用哈希（bcrypt/Argon2/scrypt）』。不要…
salt（盐）是什么？对密码做哈希时添加的、每个用户各不相同的随机值
salt＝在对密码做哈希之前添加的、每个用户各不相同的随机值。即便密码相同，所有人的保存值也会各不相同，预先计算好的彩虹表因此失效，攻击者也无法用一次破解攻破多个人。salt 不是秘密，可以和哈希一起保存。使用 bcrypt/Argon2 时会自动加上。
什么是网络钓鱼（Phishing）？手法种类，以及比识破更可靠的防御
网络钓鱼是冒充可信对象、诱导你进入伪造的登录页面等，窃取凭据或个人信息（或诱使你运行恶意软件）的诈骗。它的特点是攻击『人的判断』而非软件漏洞，是勒索软件与信息泄露最大的入侵入口。如今有以假乱真的假网站连一次性验证码都实时中继的中间人型(AiTM)…
JWT（JSON Web Token）是什么？带签名令牌的原理与安全用法
JWT 是服务器签名后发放、能够发现篡改的令牌。它由 header.payload.signature 三部分组成，服务器通过签名来校验是否为真品。要点＝①必须校验签名并固定期望的 alg（拒绝 alg:none）②内容人人可读，不要放机密③把有效期设短并准备失效策略。解码（读取内容）…
什么是勒索软件 —— 工作原理、入侵途径与「不付款」的防御
勒索软件是一种加密文件并要求「想恢复就付赎金」的恶意软件。如今除了加密，还会窃取数据并威胁「不付款就公开」，这种双重勒索已成主流——即使能解密，信息泄露也无法挽回。主要入侵口是钓鱼、弱口令/无 MFA 的 VPN/RDP，以及未修补的对外公开漏洞。最重要的…
BitLocker 是什么：用 Windows 磁盘加密，在设备被盗或丢失时保护数据
BitLocker 是 Windows 内置的磁盘加密。它保护处于关机/驱动器被拔出状态下的数据，在设备被盗或丢失时把内容变成密文。最需要做好的是恢复密钥的保管：一旦丢失，你自己也无法访问数据。它无法保护正在运行、已登录的电脑，所以要与强登录＋自动锁定配合使用…
C2（命令与控制）是什么：入侵后攻击者远程操控终端的通信
C2 是被入侵的终端回连攻击者服务器（信标）、用于接收命令与外传数据的远程操控通道，处于入侵「之后」的阶段。主要线索是外向的可疑定期通信与已知的恶意目的地。防御靠出口（egress）过滤·DNS 监控·IOC/IOA 比对·最小权限。在入侵调查中，确认「不存在常驻…
CORS 是什么 — 原理，以及配置错误（CORS misconfiguration）会引发什么
CORS 是浏览器用来控制「其他源的 JS 能否读取自己 API 响应」的机制。配置错误＝反射任意 Origin，或把 Access-Control-Allow-Origin:* 与认证信息同时使用，会导致第三方网站读取到已登录数据。基本的防御是采用白名单方式、不要不加判断地反射 Origin、默…
EDR 是什么：记录终端活动、检测并响应杀毒软件漏掉的攻击的机制
EDR 持续记录终端行为，检测可疑动向（偏 IOA），并支持隔离、调查等响应。它用行为与时间线捕获以特征码／IOC 比对为主的杀毒软件会漏掉的无文件攻击和正规工具滥用。小规模环境往往并不需要完整 EDR，借助操作系统自带防护＋日志＋IOA 的思路即可获得大量价…
什么是 IOA（攻击指标）：不靠痕迹，而靠“正在进行的攻击行为”来察觉
IOA（攻击指标）是靠正在进行的攻击的“行为”（提权→横向移动→外部外传）来察觉入侵的思路，与事后痕迹 IOC 成对。哈希和 IP 攻击者一瞬就能改，但手法（行为）难以改变＝IOA 更长效。即便规模小，只要关注“与平时不同的举动”也能靠近这一思路。
什么是 IOC（失陷指标）：从攻击留下的痕迹中发现入侵的线索
IOC（失陷指标）是入侵留下的痕迹＝已知恶意的文件哈希、通信对端 IP/域名、URL、异常进程等。其价值在于能机械地检测并拦截已知的坏东西。但它是攻击者可以随手丢弃、随意更换的事后线索，所以 IOC 比对只是最后的确认手段，并不是完整的防御。主要的防御是…
会话固定（Session Fixation）是什么 — 让用户用攻击者准备好的 ID 登录的漏洞
会话固定是攻击者预先准备一个已知的 session ID 让受害者使用，待其登录后用该 ID 冒充受害者的攻击。主要防御是『每次登录（以及权限变化）时都重新生成 session ID』。禁止从 URL 接收 ID，并给 Cookie 设置 HttpOnly/Secure/SameSite。
什么是点击劫持？把透明页面叠在另一个页面上、诱导你点击其中按钮的攻击
点击劫持是用透明的 iframe 把自己的站点叠加到另一个站点上，诱导用户执行非本意操作（转账、修改设置、同意授权）的攻击。主要防御是不让自己的站点被嵌入到他站的框架里：CSP frame-ancestors 与 X-Frame-Options。
IDOR 是什么：改写 ID 就会暴露他人数据的漏洞
IDOR 是一种仅靠把 ?id=124 改成 125 就能看到他人发票、个人信息的访问控制缺陷漏洞。主要防御是「在服务端每次校验『当前登录的这个用户，是否可以查看该对象』」。难以猜测的 ID 并不能算作对策。
什么是开放重定向（open redirect）：把用户从受信任的 URL 转发到别的站点的漏洞
开放重定向是指可以在 ?next= 等跳转目标参数里塞入外部 URL，从而借助受信任的域名把用户转到别的站点的漏洞。它会被用于钓鱼。主要的防御是「跳转目标不接收外部 URL／只允许允许列表或相对路径」。
路径遍历是什么 — 用 ../ 读取服务器上「本不该交出的文件」的漏洞
路径遍历是一种在文件名输入中混入 ../，从而逃出基准目录、读写 .env、配置、密钥等的漏洞。主要防御是「不把用户输入直接用作文件路径」「先规范化再将其限制在基准目录内」。
CSRF（跨站请求伪造）是什么：让登录中的用户发出并非本意的请求的攻击
CSRF 是一种擅自让登录中用户的浏览器发出「并非本人本意的操作」的攻击，它滥用了浏览器自动发送 Cookie 的特性。主要防御是 CSRF Token＋SameSite Cookie。不用 GET 来改变状态同样重要。
SPF / DKIM / DMARC 是什么：保护自己域名免遭冒名邮件的三项 DNS 设置
SPF/DKIM/DMARC 是让收件方验证自有域名邮件是否真实的三项 DNS 设置。SPF＝允许发信的服务器，DKIM＝电子签名，DMARC＝策略＋报告。三者齐备，就能拦截冒用你名义的冒充与钓鱼邮件。DMARC 从 p=none 开始逐步加严。
什么是 SQL injection（SQLi）：能用输入改写数据库命令的漏洞
SQLi 是一种让输入被当作「命令的一部分」而非「数据」来解释、从而改变数据库查询含义的漏洞，直接导致数据被读取、被篡改、被全部删除。主要的防御是「停止字符串拼接，用占位符（prepared statement）传值」。
XSS（跨站脚本）是什么：让攻击者的脚本在其他用户浏览器中执行的漏洞
XSS 是一种让攻击者准备的字符串「作为脚本」在另一名用户的浏览器中被执行的漏洞，直接导致会话被窃取与冒充。主要的防御是「输出时转义」。不破坏框架的自动转义是最有效的对策。
什么是 CVE？漏洞统一编号机制的原理
CVE 是给漏洞分配的全球通用标识编号（例如 CVE-2025-12345）。它让所有人能用同一个名字引用同一个漏洞，是对策与监控的起点。CVE＝名字、CVSS＝严重程度、KEV＝是否正被利用，职责各不相同。对个人而言，用机器监控来追踪才现实。
CVSS 是什么？漏洞严重程度评分及其计算方法
CVSS 是用 0.0～10.0 表示漏洞严重程度的通用分数。分数由「攻击途径・复杂度・所需权限・用户交互・影响范围・CIA」这些既定指标通过公式算出。懂了标准就能读懂 10.0 的含义。不过优先级还要结合 KEV（是否正被利用）和你自己是否在用来一起判断。
「.env」是什么 — 环境变量文件泄露会发生什么
.env 是把应用的机密值（数据库认证、API key、加密密钥）汇总在一起的配置文件。由于机密集中在一个文件里，一旦被公开，所有机密就会一次性泄露。应把应用本体放到 docroot 之外，不要提交到 git，泄露后要把全部钥匙轮换掉。
什么是 RCE（远程代码执行）——为什么它是最糟一类的漏洞
RCE 是一种让攻击者能在服务器上执行任意代码的漏洞。它不止于信息泄露，而是直接通向被接管，属于最糟一类。损害能扩散到多远，由「该进程的权限」决定。防御的关键在于迅速更新、CVE 监控、最小权限。
什么是 SSRF（服务器端请求伪造）
SSRF 是利用外部输入的 URL，让服务器去访问内部资源（内部 IP 或云元数据）的攻击。只要做了去获取 URL 的功能，就必须有目标 allowlist、内部网络阻断，以及防范重定向 / DNS 重新解析的绕过。它也是 Capital One 事故的原因。