半夜三点，网站某电商平台的攻击服务器CPU突然飙到100%。运维工程师打开日志，名词看到几万条来自不同IP的解释请求，全都指向同一个商品页面——库存只剩三件的网站那款显卡。这不是攻击黑客炫技，是名词有人想用脚本抢货。但这种事干得多了，解释网站就扛不住了。网站你管这叫攻击？攻击严格来说，这算“业务逻辑滥用”，名词但安全圈的解释人懒得细分，统称“CC攻击”。网站

CC攻击是攻击“Challenge Collapsar”的缩写，国内最早这么叫是名词因为某知名安全厂商的产品叫“黑洞”（Collapsar）。原理不复杂——模拟多个真实用户不断向服务器发送需要复杂计算的请求，比如搜索、登录、提交订单。每个请求单独看都正常，但数量一多，服务器的CPU和数据库连接就被榨干了。我见过最狠的一次，对方只用了一台普通PC，每秒发200个请求，就把一个日活十万的小论坛打瘫了。为什么？因为那个论坛的搜索功能没做缓存，每次查询都要全表扫描。

跟CC攻击经常一起出现的是DDoS——分布式拒绝服务。这玩意更粗暴，直接拿流量砸。攻击者控制几千台“肉鸡”（被植入木马的电脑或物联网设备），同时向目标IP发送海量数据包。就像你家门口突然涌来十万人堵着不让你出门，不管你是去上班还是倒垃圾。2016年那次Mirai僵尸网络攻击，把美国东海岸的DNS服务商Dyn打趴下，Twitter、Netflix全断。原因？攻击者扫描了全世界大量默认密码的摄像头，组成了几十万台的僵尸网络。物联网设备的安全防护差到令人发指，出厂密码admin/admin，几年都没人改。

还有一种攻击叫SQL注入，属于“老派手艺”。原理是网站把用户输入的内容直接拼进数据库查询语句。你在登录框输入' OR 1=1 --，如果程序没做过滤，这条语句就变成了“查询所有用户，条件是密码等于1或者1=1”，后面的注释符把剩余条件全干掉了。于是你直接以管理员身份进了后台。这种漏洞现在大厂基本绝迹，但中小网站仍然常见——很多外包公司用框架自动生成代码，程序员根本不懂底层原理，只知道“这样写能跑”。

XSS（跨站脚本攻击）玩的是“借刀杀人”。攻击者把一段恶意JavaScript代码塞进评论区或用户昵称里，其他用户浏览页面时，这段代码就在他们浏览器里执行。它能偷你的cookie（登录凭证），冒充你发帖，甚至转账。我认识一个白帽子，他曾在某视频网站的弹幕里植入XSS，只要有人发弹幕，他就能拿到对方的登录态。弹幕这种实时渲染的内容，过滤难度比普通评论高一个量级。

CSRF（跨站请求伪造）更阴。你登录了银行网站，没退出，又去逛了一个恶意论坛。论坛里藏着一张图片，实际链接是“转账1000元给攻击者”。浏览器会自动带上你银行网站的cookie，请求就这么发出去了。银行网站那边看到的是合法登录用户的请求，自然照办。防御办法也简单——关键操作加一个不可预测的token，或者验证二次密码。但很多老系统至今没做。

说这些不是为了吓你。实际上，大部分攻击都是“扫大街”式的——用自动化工具批量扫描全网IP，找那些没打补丁的旧系统。真正被“定向攻击”的，要么是资产价值极高（比如加密货币交易所），要么是得罪了什么人。普通小网站被攻击，多半是黑客练手或者勒索试探。但话说回来，如果你连日志都不看，被打了都不知道怎么死的。有一次我帮朋友排查他那个WordPress站点，发现后台被植入了一个挖矿脚本，CPU占用率长期100%。他问我“啥时候被黑的？”我查了下文件修改时间——三个月前，他最后一次更新插件的时候。漏洞就在那个旧版插件里，公开的CVE编号都有，他压根没关注过安全公告。

网络安全这事，七分靠习惯，三分靠技术。别把“攻击”想得太神秘，大多数攻击者用的工具都是公开的，漏洞库也是公开的。你只要做到及时更新软件、密码别用123456、关掉不需要的服务，就已经能挡住90%的脚本小子了。剩下的10%？那是专门盯上你的人，对付他们的唯一办法是——别让自己成为值得被盯上的目标。

(责任编辑：知识)