每個行業都有黑話，剛入行的小白一眼看過去簡直是摸不著頭腦，今天我給大家梳理一下滲透/黑客/網絡安全這行常見的行業術語！

白帽子：白帽子描述的是正面的黑客。通過技術手段識別計算機系統或網絡系統中的安全漏洞，提交給廠商并提出修復方法。

黑帽子：為了謀取利益而行走在法律邊緣甚至違法亂紀的黑客。

灰帽子：介質與黑白之間，無法具體的定性。

肉雞：就是傀儡機，可以隨意被控制的電腦或服務器。

木馬：一些用來獲取用戶權限的程序或者代碼段。

后門：為了方便二次進入系統留下的非常隱蔽的后門程序。

shell：命令執行環境，通常所說的拿Shell，就是拿到對方的命令執行環境。

webshell：通過Web入侵的一種腳本工具，可以據此對網站服務進行一定程度的控制。

poc：用來驗證漏洞存在的一段代碼或程序。

EXP：漏洞利用的一段代碼或程序。

Payload：Payload即有效攻擊載荷，可以是一段代碼，被隱藏并且秘密發送的信息。

WAF：web應用防護系統，也稱之為網站應用級入侵防御系統。

提權：利用一些手段將低權限提升為高權限，這里的高權限一般為管理員或系統權限。

APT：高級可持續性攻擊，是指組織（特別是政府）或者小團體利用先進的攻擊手段對特定目標進行長期持續性網絡攻擊的供給形式（極強的隱蔽性、潛伏期長、持續性強、目標性強）。

CMS：內容管理系統，可以理解為網站的一種模板，將一些功能集中控制管理，是網站搭建變得更為快捷。

黑盒測試：即對內部情況一無所知的情況下進行滲透測試或者其他測試。

白盒測試：了解內部系統、結構、源碼的情況下進行滲透測試或其他測試。

灰盒測試：介質于黑白盒之間的滲透測試或其它測試。

0day：0day漏洞是指負責應用程序的程序員或供應商所未知的軟件缺陷。因為該漏洞未知，所以沒有可用的補丁程序。

1day：1day剛發布但是已被發現官方剛發布補丁網絡上還是存在大量的Vulnerability。

Nday：Nday已經被公布出來的0day。

Proxy：代理。一類程序或系統，接收來自客戶機算計的流量，并代表客戶端與服務器交互，代理能用于過濾應用級別的制定類型的流量或緩存信息以提高性能。許多防火墻依賴代理進行過濾。

加殼/脫殼：“殼”是一段專門負責保護軟件不被非法修改或反編譯的程序，它們一般都是先于程序運行，拿到控制權，然后完成它們保護軟件的任務。加殼就是將軟件源碼保護，脫殼相反。

Shellcode: shellcode是一段用于利用軟件漏洞而執行的代碼，shellcode 為16進制的機器碼，因為經常讓攻擊者獲得shell而得名。

釣鯨攻擊：捕鯨是另一種進化形式的魚叉式網絡釣魚。它指的是針對高級管理人員和組織其他高級人員的網絡釣魚攻擊。通過使電子郵件具有個性化并專門針對相關目標進行定制的攻擊。

水坑攻擊：顧名思義，是在受害者必經之路設置了一個"水坑(陷阱)” 。最常見的做法是，黑客分析攻擊目標的上網活動規律，尋找攻擊目標經常訪問的網站的弱點，先將此網站“攻破”并植入攻擊代碼，一旦攻擊目標訪問該網站就會“中招”。

橫向移動：在縱向獲取到某個服務器的權限時，我們可以以該服務器為跳板，進行橫向拓展的內網攻擊。

電信詐騙：是指通過電話、網絡和短信方式，編造虛假信息，設置騙局，對受害人實施遠程、非接觸式詐騙，誘使受害人打款或轉賬的犯罪行為，通常以冒充他人及仿冒、偽造各種合法外衣和形式的方式達到欺騙的目的。

殺豬盤：網絡流行詞，電信詐騙的一種，是一種網絡交友誘導股票投資、賭博等類型的詐騙方式，"殺豬盤” 則是”從業者們”自己起的名字，是指放長線“養豬”詐騙，養得越久，詐騙得越狠。脫庫：將數據庫中的數據導出。

社工庫：一種黑客將泄露在暗網/公網上的用戶數據整合起來，并用來查詢或者社工的手段的工具。

撞庫攻擊：在獲取到用戶的一組賬號密碼時，嘗試用該賬號登錄其他站點/app等。

旁站：同一臺服務器上可能存在其他的站點。

蜜罐：可以聯想為情報收集系統，用來誘導黑客進行攻擊，以此來判斷黑客行為，甚至完成反制。

掛馬：就是在別人的網站文件里面放入網頁木馬或者是將代碼潛入到對方正常的網頁文件里，以使瀏覽者中馬。

網絡釣魚（Phishing）：是"Fishing" 和"Phone" 的綜合體，由于黑客始祖起初是以電話作案，所以用"Ph” 來取代“F”，創造了"Phishing" 。然而，當今的“網絡釣魚"攻擊利用欺騙性的電子郵件和偽造的Web站點來進行詐騙活動，受騙者往往會泄露自己的財務數據，如信用卡號、賬戶用戶名、口令和社保編號等內容。

cc攻擊：攻擊者借助代理服務器生成指向受害主機的合法請求，實現DDOS和偽裝就叫: CC(Challenge Collapsar)CC主要是用來攻擊頁面的。

Dos攻擊：拒絕服務攻擊。攻擊者通過利用漏洞或發送大量的請求導致攻擊對象無法訪問網絡或者網站無法被訪問。

DDos攻擊：分布式DOS攻擊，常見的UDP、SYN、 反射放大攻擊等等，就是通過許多臺肉雞一起向你發送一些網絡請求信息，導致你的網絡堵塞而不能正常上網。抓雞：利用漏洞或其他手段批量的在公網上獲取存在漏洞的主機，將其淪為肉雞。

C2：C2全稱為CommandandControl, 命令與控制，常見于APT攻擊場景中。作動詞解釋時理解為惡意軟件與攻擊者進行交互，作名詞解釋時理解為攻擊者的“基礎設施”。

魚叉攻擊：魚叉攻擊是將用魚叉捕魚形象的引入到了網絡攻擊中，主要是指可以使欺騙性電子郵件看起來更加可信的網絡釣魚攻擊，具有更高的成功可能性。不同于撒網式的網絡釣魚，魚叉攻擊往往更加具備針對性，攻擊者往往"見魚而使叉"。

黑產：網絡黑產，指以互聯網為媒介，以網絡技術為主要手段，為計算機信息系統安全和網絡空間管理秩序，甚至國家安全、社會政治穩定帶來潛在威脅(重大安全隱患)的非法行為。例如非法數據交易產業。

紅隊：通常指攻防演*中的攻擊隊伍。藍隊：通常指攻防演*中的防守隊伍。

紫隊：攻防演*中新*誕生的一方，通常指監理方或者裁判方。

IDS：入侵檢測系統，用于在黑客發起進攻或是發起進攻之前檢測到攻擊，并加以攔截。IDS是不同于防火墻。防火墻只能屏蔽入侵，而IDS卻可以在入侵發生以前，通過一些信息來檢測到即將發生的攻擊或是入侵并作出反應。IPS：IPS全稱為Intrusion-PreventionSystem, 即入侵防御系統，目的在于及時識別攻擊程序或有害代碼及其克隆和變種，采取預防措施，先期阻止入侵，防患于未然。或者至少使其危害性充分降低。入侵預防系統一 般作為防火墻和防病毒軟件的補充來投入使用。

堡壘機：運用各種技術手段監控和記錄運維人員對網絡內的服務器、網絡設備、安全設備、數據庫等設備的操作行為，以便集中報警、及時處理及審計定責。

VPN：虛擬專用網，在公用網絡上建立專用網絡，進行加密通訊，通過對數據包的加密和數據包目標地址的轉換實現遠程訪問。

科/學/上/網：fq,翻越c防火墻，訪問國外外網，實際上是一種不合法的行為。

CTF（奪旗賽）：CTF (CaptureThe Flag)中文一般譯作奪旗賽,在網絡安全領域中指的是網絡安全技術人員之間進行技術競技的一種比賽形式。