钓鱼(phishing)

百度百科：

网络钓鱼（Phishing，与钓鱼的英语 fishing 发音相近，又名钓鱼法或钓鱼式攻击）是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。

常见特征：诱惑性标题，仿冒真实网站，骗取用户账号，骗取用户资料

网页篡改(web tamper)

入侵网站之后对网页进行篡改，主要有炫耀技术、达到某种政治目的等。

（好玩的来啦）这里我们可以使用 Google Hacking 语法来发掘一些被篡改的网页，在某度（这里不太建议使用 Google，实践中感觉百度搜着这玩意比较有效）搜索：intitle:hacked by，然后就能找到一些被篡改的网站。

关于使用搜索引擎的小技巧：

关键字：Hacked by，login

Google Hacking 语法简介（还会在开一篇博文专门讲）：

intitle:keyword 标题中含有关键字的网页

intext:keyword 正文中含有关键字的网页

site:domain 在某域名和子域名下的网页

暗链是网页篡改的一种，通常是黑客利用网站安全漏洞入侵网站后留下的一些在网页页面上不可见的超链接，这些超链接用于欺骗搜索引擎提高所链向的网站排名，一般情况下暗链主要嵌入在网站首页。

使用查看网页源代码功能，可以看到暗链的链接。

特征：

  1. 隐藏在网站当中链接
  2. 暗链不能为正常用户点击（暗链不是为人准备的，是为搜索引擎的爬虫机器人准备的）
  3. 暗链常为：网游/医疗/菠菜/色情

下面介绍一下黑客攻击中的战斗机：Webshell

顾名思义，"web" - 显然需要服务器开放 web 服务；"shell" - 取得对服务器某种程度上操作权限。

webshell 常常被称为匿名用户(入侵者)通过 WEB 服务端口对 WEB 服务器有某种程度上操作的权限,由于其大多是以网页脚本的形式出现，也有人称之为网站后门工具。

简单的说 web shell 就是等于别人网站的操作权限，你有哪个网站的 shell 就是有哪个网站的操作权限，你可以在他网站挂你们网站的单向链接，也可以用他们网站首页做灰色词，甚至可以在他们网站新增目录做灰色词的排名。这也是为什么这么多人在收 web shell 的原因，大多数都是用来做灰色行业，效果快，来钱快。

WebShell 通常是以 asp、php、jsp、asa 或者 cgi 等网页文件形式存在的—种命令执行环境，也可以称为—种网页后门。黑客在入侵网站后，通常会将 WebShell 后门文件与网站服务器 WEB 目录下正常的网页文件混在—起，然后就可以使用浏览器来访问这些后门，得到命令执行环境，以达到控制网站或者 WEB 系统服务器的目的。这样就可以上传下载文件、查看数据库、执行任意程序命令等。

根据功能也分为大马与小马。大马的功能非常强大，一般有账号，目录，组件，命令执行，注册表等。小马通常指的一句话木马。

注入过程：黑客通过漏洞提权，上传 webshell 作为一个后门。

总之，都是 web 安全。