100个网络安全基础知识，一篇讲透（建议收藏）

原创

北京昊网
北京昊网

北京昊网网络安全与数字化服务

2026年10月7日 13:13
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关注公众号，共话网络空间安全。

很多刚入行的网安新人，学了一段时间之后会陷入一种困惑：

零散的知识学了不少，但脑子里是乱的。IDS和IPS有什么区别？防火墙和WAF是不是一回事？木马、蠕虫、病毒到底怎么分？漏洞和威胁、风险又是什么关系？

这些问题不解决，后面学渗透、学运营、学应急，都会卡在同一个地方——基础概念分不清，遇到实际问题就判断不准。

这篇文章把网安入门最核心的基础知识按七个板块整理出来，每个知识点用最直白的话讲清楚。建议先收藏，以后遇到模糊的概念，回来查一遍。

一、基础概念

1. 黑客广义指研究或操作计算机系统的人。安全语境里分三种：白帽（做安全防护）、灰帽（游走在合法边缘）、黑帽（从事非法攻击）。
2. 肉鸡被攻击者远程控制的设备。攻击者用它发起恶意流量、挖矿、做跳板，主人往往毫不知情。
3. IP地址网络设备的地址标识，相当于门牌号。常见的有IPv4和IPv6两种格式。
4. 端口主机上服务通信的逻辑通道。比如80是HTTP，443是HTTPS，22是SSH。端口开放意味着对应的服务在运行。
5. 防火墙按规则允许或阻断网络访问的边界防护设备。工作在网络层和传输层，看的是IP和端口。
6. VPN通过加密隧道实现远程安全访问的技术。数据传输过程中被加密，即使被截获也无法直接读取。
7. 加密把明文转换为密文的过程。分对称加密和非对称加密。对称加密速度快，非对称加密更安全，实际应用中常结合使用。
8. 哈希值由散列算法生成的固定长度摘要。常用于验证数据完整性。常见算法有MD5、SHA-1、SHA-256。
9. DNS把域名解析成IP地址的系统。你输入
10. 漏洞系统、软件或硬件中的缺陷。可能被利用来绕过安全机制、获取未授权访问或造成破坏。
11. 零日漏洞厂商尚未修复或公开前就已被利用的高风险漏洞。因为没有补丁，防守方在短时间内很难防御。
12. 后门绕过正常认证的隐藏访问通道。常见于恶意程序或被改造过的系统。攻击者用来维持长期访问。
13. 攻击面所有可能被攻击者利用的入口总和。包括对外开放的端口、Web应用、API接口、员工邮箱等。攻击面越大，需要防守的点越多。
14. 认证验证“你是谁”的过程。常见的认证方式包括密码、短信验证码、指纹、人脸识别。
15. 授权认证之后，判断“你能做什么”。认证解决身份问题，授权解决权限问题。
16. 最小权限原则只给用户完成工作所必需的最小权限。不多给，不超范围。这是安全设计的基本原则。
17. 纵深防御不依赖单一防护手段，在网络、主机、应用、数据多个层面都设置防护措施。一层被突破，还有其他层挡着。
18. 安全基线为系统和服务设定的最小安全配置要求。比如密码长度、日志留存时间、端口开放范围。基线检查就是核对系统是否符合这些标准。
19. 合规满足法律法规、行业标准或监管要求。等保、关保、数据安全法都是合规要求。合规是及格线，不是最高目标。
20. 等保网络安全等级保护制度的简称。根据系统的重要程度分五个等级，等级越高，安全要求越严格。常见的是等保二级和等保三级。

二、常见攻击手法

1. SQL注入向输入点插入SQL语句，欺骗数据库执行。可能导致数据泄露、认证绕过、数据篡改。
2. XSS（跨站脚本）向页面注入恶意脚本。常见于窃取Cookie、篡改页面内容、劫持用户会话。分反射型、存储型、DOM型三种。
3. CSRF（跨站请求伪造）借助用户已登录的身份，诱导其发出非本人意愿的请求。比如在用户不知情的情况下转账、改密码。
4. 文件上传漏洞未限制上传文件的类型和执行权限，导致恶意文件被上传并运行。常见于Webshell上传。
5. 命令注入把系统命令拼入应用输入，让服务器执行攻击者的命令。可能导致主机被远程控制。
6. 缓冲区溢出输入超出程序缓冲区边界，覆盖内存中的其他数据。可能触发异常执行，甚至获取系统权限。
7. 密码破解通过暴力、字典、彩虹表等方式猜中口令或哈希值。弱密码是最容易被攻破的环节。
8. 中间人攻击拦截并篡改通信数据。常见于不安全的网络环境，比如公共WiFi。
9. ARP欺骗伪造ARP报文，让目标误把攻击者当作网关。流量经过攻击者，可被监听或篡改。
10. 会话劫持窃取或伪造会话标识，冒充用户继续访问系统。Cookie被窃取后，攻击者可直接登录。
11. 钓鱼攻击伪造邮件、站点或消息，诱导用户泄露账号密码或点击恶意链接。
12. 社会工程学利用信任、恐惧、贪婪等心理弱点获取信息或权限。技术手段之外，攻击者更擅长攻心。
13. 水坑攻击在目标常访问的网站植入恶意内容，等待目标中招。不主动出击，等你自己送上门。
14. DDoS攻击通过大量流量或请求耗尽目标资源，导致服务不可用。常见类型有SYN Flood、HTTP Flood、DNS放大。
15. CC攻击针对Web应用的DDoS，模拟正常请求消耗服务器资源。比流量型DDoS更难防御。
16. 撞库用泄露的账号密码去尝试登录其他平台。很多人多个平台用同一套密码，撞库成功率很高。
17. 暴力破解逐一尝试所有可能的密码组合，直到猜中为止。密码复杂度直接决定了破解难度。
18. 提权从低权限用户提升到高权限用户。分本地提权和远程提权，是攻击链中的关键一步。
19. 横向移动攻陷一台机器后，以内网为跳板攻击其他机器。常见手段有RDP登录、SMB共享、远程命令执行。
20. 权限维持攻击者获取权限后，通过后门、计划任务、服务等方式保持长期访问。
21. 供应链攻击通过攻击软件供应商或合作商，间接入侵目标。一个被污染的组件，可能影响成千上万个下游用户。
22. 零日攻击利用尚未公开或未修复的漏洞发起攻击。防守方没有补丁可用，只能靠行为检测和应急响应。
23. Webshell植入Web服务器的恶意脚本。攻击者通过它执行命令、管理文件、维持访问。
24. 反弹Shell目标主机主动连接攻击者的机器，把控制权交出去。常用于绕过防火墙的出站限制。
25. 目录遍历利用路径参数访问服务器上本不该访问的文件。比如通过../跳转到上级目录。
26. 文件包含程序引入外部文件时未做充分校验。分本地文件包含和远程文件包含，后者可直接执行恶意代码。
27. 反序列化漏洞程序在反序列化数据时未做校验，导致攻击者可以构造恶意数据执行代码。Java和PHP中都很常见。
28. 逻辑漏洞业务流程设计不严谨导致的漏洞。比如支付金额可篡改、验证码可绕过、订单可重复提交。
29. 越权访问分水平越权和垂直越权。水平越权是访问同级用户的资源，垂直越权是低权限用户访问高权限功能。
30. 信息泄露敏感信息被非法获取、传播或公开。常见于错误页面、API响应、配置文件。

三、恶意代码与控制

1. 木马伪装成正常程序的恶意软件。运行后窃取信息、建立远控、下载更多恶意组件。不主动传播，靠诱骗。
2. 蠕虫可自主传播的恶意程序。借助漏洞在网络中扩散，不需要用户交互就能感染大量设备。
3. 病毒依附其他文件或程序传播的恶意代码。可能破坏数据或系统，感染后需要查杀。
4. 勒索软件加密文件并索要赎金的恶意软件。近年最常见的攻击类型之一，对业务连续性威胁极大。
5. Rootkit隐藏恶意程序或痕迹的工具。常用于维持高权限驻留，普通排查手段很难发现。
6. 僵尸网络由大量被控制设备组成的网络。可用于DDoS攻击、发送垃圾邮件、挖矿。
7. 蜜罐伪装成目标环境的诱饵系统。用来诱捕攻击者，收集攻击手法和样本。
8. C2（命令与控制）攻击者用来控制被感染主机的服务器和通信通道。C2通信常伪装成正常流量，检测难度大。
9. 隐蔽信道利用正常协议（如DNS、ICMP）传输恶意数据的通道。用来绕过防火墙和流量检测。
10. 恶意宏隐藏在Office文档中的恶意代码。用户打开文档并启用宏后，恶意代码被执行。

四、防护技术与安全设备

1. 防火墙按规则控制网络访问。是边界防护的基础设备。看IP和端口，不解析应用层内容。
2. WAF（Web应用防火墙）面向Web应用流量的防护设备。重点防护SQL注入、XSS等应用层攻击。和防火墙不是一回事。
3. IDS（入侵检测系统）负责检测可疑流量或行为，发现异常后告警。通常不主动阻断，只负责发现和告警。
4. IPS（入侵防御系统）在检测基础上联动阻断，适合在关键链路前置防护。IDS负责发现，IPS可以阻断，这是两者最大的区别。
5. 堡垒机集中管理运维访问、审计操作过程。常用于高权限账号管控，实现“操作可审计、行为可回放”。
6. 网闸强调内外网之间的安全隔离与受控数据交换。用于对隔离要求极高的场景。
7. 零信任基于持续验证、最小权限和动态策略的访问控制理念。核心思想是“永不信任，始终验证”。
8. 双因素认证结合两种认证方式，显著提高账号安全性。比如密码+短信验证码，密码+指纹。
9. 数字签名验证数据完整性与发送方身份，防篡改和伪造。
10. 安全沙箱在隔离环境中运行可疑对象，降低对主机系统的破坏风险。常用于分析恶意文件。
11. 漏洞扫描自动发现已知弱点。常作为加固与整改的前置工作。扫描结果需要人工验证，不能直接当结论。
12. 基线检查对照安全标准逐项检查系统配置。比如密码策略、端口开放、日志配置。
13. 数据加密对存储和传输中的数据进行加密。即使数据被窃取，没有密钥也无法读取。
14. 数据脱敏对敏感数据进行变形处理。比如手机号中间四位用星号代替。用于开发和测试环境。
15. 日志审计记录和分析系统操作日志。用于合规审计、事件追溯和安全监控。
16. 安全加固关闭不必要的端口和服务，修改默认口令，升级补丁，收紧权限配置。
17. 网络分段把网络划分为不同区域，限制横向移动。核心区、DMZ区、办公区分别隔离。
18. DMZ区位于内外网之间的缓冲区。对外提供服务的服务器放在这里，即使被攻破也不会直接威胁内网。
19. 最小权限只给必要的权限，不多给。减少攻击面，降低被利用的风险。
20. 安全隔离把不同安全级别的网络或系统隔离开。物理隔离、逻辑隔离、数据单向传输。

五、工具与平台

1. Nmap网络扫描工具。用于端口发现、服务识别与操作系统指纹判断。
2. Metasploit安全测试框架。用于实验环境中的漏洞验证与模块化演练。
3. Burp SuiteWeb安全测试工具。常用于抓包、改包与请求分析。
4. Wireshark抓包分析工具。用于观察网络流量与排查通信问题。
5. SQLMap自动化SQL注入测试工具。用于识别相关风险。
6. OpenVAS漏洞扫描工具。可发现系统和应用的已知安全问题。
7. Kali Linux集成多种安全工具的测试发行版。适合搭建学习环境。
8. Shodan联网设备搜索引擎。可用于暴露面认知与资产发现。
9. Nessus商业漏洞扫描器。企业环境中使用广泛，扫描结果详细。
10. Cobalt Strike渗透测试和红队演练平台。常用于模拟真实攻击场景。
11. Hydra口令测试工具。支持多协议认证场景的密码验证实验。
12. John the Ripper密码摘要破解工具。支持字典与暴力方式实验。

六、安全运营与响应

1. SOC（安全运营中心）负责持续监测、分析与处置安全事件。是企业安全运营的核心组织。
2. SIEM聚合多源日志与事件，帮助做统一分析和关联告警。是SOC的核心技术平台。
3. EDR关注终端行为与进程活动。用于检测和响应主机侧威胁。
4. NDR关注网络侧流量与行为。用于发现横向移动等异常活动。
5. 威胁情报收集可疑IP、域名、样本和攻击手法等外部情报。用于提前预警和联动防御。
6. 告警分析对触发的安全告警进行确认、分级与关联判断。不是每条告警都要处理，但每条都需要判断。
7. 应急响应在发生安全事件后完成定位、遏制、清除和恢复。目标是快速止损，不是追责。
8. 运营闭环监测→告警→分析→处置→复盘。每一个环节都要有记录、有责任人、有改进措施。只有闭环，安全运营才能持续运转。

结语

这100个知识点，是网安入门的地基。

地基不牢，后面学渗透、学运营、学应急，都会卡在同一个地方——概念分不清，判断就不准。

建议把这篇文章收藏起来，学习过程中遇到模糊的概念，回来翻一翻。每一个词，都值得你花时间去弄懂它背后的原理，而不仅仅是记住定义。

真正拉开差距的，从来不是“知道多少名词”，而是“理解多深”。

学网络安全，找北京昊网，就业有保障，带你冲刺年薪，10-40万！

详细咨询：黎歌｜18500324210（同微信）

签订《就业保障服务协议》，未达成协议内就业标准，全额退费。