网络安全的核心概念是理解攻防逻辑的基础，入门阶段需掌握CIA三元组、威胁与漏洞、身份认证与授权、加密与哈希、常见攻击类型等核心概念。以下结合实战场景解析，帮助快速入门：

一、CIA三元组（保密性、完整性、可用性）

核心概念：信息安全的三大基石，所有安全措施最终都为保障这三个属性。

• 保密性（Confidentiality）：确保信息不被未授权访问（如个人隐私、商业机密）。
• 完整性（Integrity）：确保信息不被未授权篡改（如交易记录、系统配置）。
• 可用性（Availability）：确保授权用户可正常访问信息（如服务器不宕机、APP可正常使用）。

例题1：判断CIA属性破坏场景

场景：某电商平台被黑客入侵，订单数据库中1000条用户收货地址被公开在暗网；同时部分订单金额被修改（如100元改为1元）；平台服务器因入侵导致3小时无法访问。
问题：上述场景分别破坏了CIA中的哪些属性？
解析：

• 收货地址被公开 → 破坏保密性（未授权访问）；
• 订单金额被修改 → 破坏完整性（未授权篡改）；
• 服务器3小时不可用 → 破坏可用性（授权用户无法访问）。

二、威胁与漏洞（Threat vs Vulnerability）

核心概念：

• 威胁：潜在的危害源（如黑客、勒索软件、自然灾害），是“谁/什么可能造成伤害”。
• 漏洞：系统/流程中的弱点（如密码明文存储、软件未打补丁、权限配置错误），是“被攻击的入口”。
  关系：威胁利用漏洞造成危害（如“勒索软件（威胁）利用未打补丁的漏洞（漏洞）入侵系统”）。

例题2：区分威胁与漏洞

场景：某公司员工在公共网络用U盘拷贝文件，导致电脑被植入挖矿程序；经排查，该电脑未安装杀毒软件，且操作系统半年未更新。
问题：场景中的“威胁”和“漏洞”分别是什么？
解析：

• 威胁：公共网络中的挖矿程序（潜在危害源）、员工不安全的操作习惯（间接引入威胁的行为）；
• 漏洞：电脑未装杀毒软件、操作系统未更新（系统自身的弱点，被威胁利用）。

三、身份认证与授权（Authentication vs Authorization）

核心概念：

• 认证（Authentication）：验证“你是谁”（如密码、指纹、验证码）。
• 授权（Authorization）：验证“你能做什么”（如普通用户只能查看数据，管理员可删除数据）。
  关系：先认证，后授权（未认证的用户不应被授权任何操作）。

例题3：分析认证与授权漏洞

场景：某后台系统中，用户登录只需输入密码（无用户名验证），且所有登录成功的用户都能访问“删除所有数据”功能。
问题：该系统存在哪些认证/授权漏洞？如何修复？
解析：

• 认证漏洞：仅验证密码，未验证用户名（攻击者可通过暴力破解密码，无需知道用户名）；
• 授权漏洞：未区分用户权限（普通用户被过度授权）；
• 修复：增加用户名+密码双因素认证；基于角色的授权（RBAC），仅管理员开放删除权限。

四、加密与哈希（Encryption vs Hashing）

核心概念：

• 加密：将明文转为密文，可通过密钥解密回明文（用于保护传输/存储的敏感数据，如支付信息）。
  • 对称加密（如AES）：加密和解密用同一密钥（速度快，适合大量数据）；
  • 非对称加密（如RSA）：加密用公钥，解密用私钥（适合密钥交换，如HTTPS）。
• 哈希：将任意长度数据转为固定长度哈希值，不可逆（用于验证完整性，如密码存储、文件校验）。

例题4：选择合适的加密/哈希方案

场景：

1. 网站存储用户登录密码；
2. 用户在APP中传输银行卡号；
3. 验证下载的安装包是否被篡改。
   问题：分别应使用哈希还是加密？具体方案是什么？
   解析：
4. 密码存储 → 哈希（不可逆，防止泄露后被还原），如用SHA-256+盐值（Salt）；
5. 传输银行卡号 → 加密（需解密查看），如HTTPS（基于非对称加密交换对称密钥，再用对称加密传输数据）；
6. 验证安装包完整性 → 哈希（对比官方提供的哈希值，不一致则被篡改），如MD5校验（实际推荐SHA-256）。

五、常见攻击类型入门（Web场景为主）

1. SQL注入（SQL Injection）

概念：攻击者通过输入恶意SQL语句，篡改数据库查询（如登录绕过、窃取数据）。
例题5：某登录页面的SQL查询代码如下：

SELECT * FROM users WHERE username='{input_username}' AND password='{input_password}'

若攻击者输入username=' OR '1'='1，password任意，会发生什么？如何修复？
解析：

• 攻击效果：拼接后SQL变为SELECT * FROM users WHERE username='' OR '1'='1' AND password='xxx'，因'1'='1'恒为真，无需正确密码即可登录；
• 修复：使用参数化查询（预编译语句），禁止直接拼接用户输入。

2. 跨站脚本（XSS）

概念：攻击者注入恶意脚本（JS）到网页，当其他用户访问时执行（如窃取Cookie、冒充用户操作）。
例题6：某论坛允许用户发布评论，后台直接将用户输入的评论内容渲染到页面（未过滤）。若攻击者发布评论：

<script>alert(document.cookie)</script>

会发生什么？如何防御？
解析：

• 攻击效果：其他用户查看该评论时，浏览器会执行JS，弹出当前用户的Cookie（可能被攻击者获取用于冒充登录）；
• 防御：对用户输入进行HTML转义（如<转为<），禁止脚本执行。

3. 缓冲区溢出（Buffer Overflow）

概念：向程序缓冲区输入超过其容量的数据，覆盖相邻内存（可执行恶意代码，如获取系统权限）。
例题7：某C语言程序代码如下：

void vulnerable() {
    char buffer[10]; // 缓冲区大小为10字节
    gets(buffer); // 读取用户输入，无长度限制
}
int main() {
    vulnerable();
    return 0;
}

若用户输入20字节的数据（前10字节填充，后10字节为恶意代码），可能导致什么后果？如何修复？
解析：

• 攻击效果：输入数据超过缓冲区容量，覆盖栈中返回地址，使程序跳转到恶意代码执行（如获取shell）；
• 修复：使用安全函数（如fgets代替gets），限制输入长度；开启栈保护（如GCC的-fstack-protector）。

总结

以上核心概念是网络安全的“基础知识框架”，所有攻防技术均围绕这些概念展开。实战中需结合场景分析：先识别资产的CIA需求→找出威胁和漏洞→通过认证/授权/加密等手段防御→针对常见攻击类型（如SQL注入、XSS）部署专项防护。入门阶段可从Web漏洞（SQL注入、XSS）入手，通过简单代码审计和工具测试（如Burp Suite）加深理解。