作者：黑蛋
近日，山东艺术学院“玫瑰少年”事件在网上激起一片讨论热潮，某安全组织为此发声，称其组织已于2022.9.24、25日攻击济南教育网官网，使该官网暂停服务长达9小时，并以此警告山东艺术学院不要试图通过某种令人作呕的非法手段来隐瞒事实，并未涉案人员开脱洗白、隐瞒罪行，否则将对学院官网进行“检测”。
让我们从网络安全技术研究的角度来简单分析一下。该组织对网站攻击使用的技术是 DDOS攻击， 又叫分布式拒绝服务攻击，是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。
由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击，其中的攻击者可以有多个。让我们来了解一下DDos攻击的原理。分布式拒绝服务攻击原理：分布式拒绝服务攻击DDoS是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布的、协同的大规模攻击方式。单一的DoS攻击一般是采用一对一方式的，它利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。与DoS攻击由单台主机发起攻击相比较，分布式拒绝服务攻击DDoS是借助数百甚至数千台被入侵后安装了攻击进程的主机同时发起的集团行为。
一个完整的DDoS攻击体系由攻击者、主控端、代理端和攻击目标四部分组成。主控端和代理端分别用于控制和实际发起攻击，其中主控端只发布命令而不参与实际的攻击，代理端发出DDoS的实际攻击包。对于主控端和代理端的计算机，攻击者有控制权或者部分控制权。它在攻击过程中会利用各种手段隐藏自己不被别人发现。真正的攻击者一旦将攻击的命令传送到主控端，攻击者就可以关闭或离开网络。而由主控端将命令发布到各个代理主机上。这样攻击者可以逃避追踪。每一个攻击代理主机都会向目标主机发送大量的服务请求数据包，这些数据包经过伪装，无法识别它的来源，而且这些数据包所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务，甚至导致系统崩溃。简单来讲就是用多个客户端，不断像服务器发送大量的请求，超过他的处理能力，服务器处理不过来，就会拒绝后面的请求，达到让对方暂停服务的目的。
对于该组织声称将要对山东艺术学院官网进行“检测”，常见方法就是使用一些漏洞扫描工具，像Nessus、Xray等，如果发现网站存在漏洞
比如常见的渗透top10漏洞：
1.sql注入；
2.失效的身份认证和会话管理；
3.xss跨站脚本攻击；
4.安全配置错误；
5.敏感信息泄漏；
6.访问控制；
7.CSRF跨站请求伪造；
8.使用已知漏洞的组件；
9.未验证的重定向和转发；
10.文件上传漏洞（随着不断发展会有更新）
如果发现漏洞，就可以利用漏洞，上传自己的脚本，对网站进行操作。
以上所说的攻击手段知识属于网络安全方向之一渗透。渗透主要是对网站服务器进行渗透攻击，其就业岗位丰富，下面简单列举一个用人单位对渗透测试工程师的岗位要求：
岗位职责 1.负责对客户网络、系统、应用进行渗透测试、安全评估和安全加固，并对相关过程进行问题描述和总结报告的编制； 2.在出现网络攻击或安全事件时，提供应急响应服务，帮助用户恢复系统及调查取证； 3.针对客户网络架构，建议合理的网络安全解决方案； 4.安全攻防研究，含WEB方向、软件逆向方向、移动APP方向和软件安全生命周期等。
岗位要求 1.对 Web 安全整体有较深刻理解，具备 Web 渗透技能，熟悉安卓/iOS APP 基本的安全测试方法； 2.熟悉渗透测试流程，熟练掌握各类安全测试工具； 3.熟练掌握 php/python/java 等至少一种语言，能编写测试脚本/工具； 4.熟悉各种攻防技术以及安全漏洞原理，有CTF/红蓝对抗等参赛经验优先； 5.有强烈的责任心和学习意愿，良好的沟通交流、团队合作、抗压能力。
