WannaCrypt（永恒之蓝）勒索蠕虫突然爆发以来至今，影响已经遍及近百国家，包括英国医疗系统、快递公司FedEx、俄罗斯电信公司Megafon都成为受害者，中国校园网和多家能源企业、政府机构也中招，被勒索支付高额赎金才能解密恢复文件，对重要数据造成严重损失，全球至少有10万台机器被感染。经过72小时全国动员和应急响应，感染和影响得到了基本控制，总体态势平稳，但这种病毒的传播情况至今仍然无法彻底遏制。

互联网时代的信息安全显得尤其重要，今天就来回顾和梳理一下与黑客、病毒和互联网信息安全相关的术语详解。

“黑客”一词译自英文“Hacker”，最早出现在20世纪初美国麻省理工学院的校园俚语中，形容学生精心策划的一些恶作剧。后来词义引申为热心于计算机技术、水平高超的电脑专家和程序设计人员。

20世纪60年代， 麻省理工学院有一个学生团体叫做“铁路模型技术俱乐部”

他们把难题的解决方法称为“hack”。

“hack”的字典解释是“砍（木头）”，在这些学生看来，解决一个计算机难题就像砍倒一棵大树。因此完成这种“hack”的过程就叫“hacking”，而从事这项行为的人就是“hacker”，也就是黑客。

最早这个词完全是正面意义而且带有敬意的称呼，麻省理工的学生认为要完成一个“hack”，就必然包含着高度的革新、独树一帜的风格，最能干的人才会自豪的称自己为黑客。

而“hack”还有一个引申义，指对某个设备或者程序进行修改，使其完成原来不可用的功能（或者禁止外部设备使用者接触到的功能）。在这个意义上，“hacking”可以与盗窃信息、信用卡欺诈等其他计算机犯罪联系在一起，这也是后来“黑客” 被当作对计算机入侵者的称呼的原因。

红客起源于1999年的“五八事件”。

在美国轰炸中国驻贝尔格莱德大使馆第二天，

中国信息安全从业者苗得雨制作了第一个红客网站——中国红客之祖国团结阵线

（后更名中国红客之祖国统一战线），

其“红客”一词来自于新加坡《联合早报》一篇报道形容的“红旗下的黑客”。

红客是具有爱国热情和明显政治倾向的黑客群体，是一批非官方的，

使用技术“维护国家和民族尊严”的人。

戴黑帽子的人被视为恶棍或坏人，尤其在西方电影中，反派角色都会戴着黑色的帽子。在计算机中，这种措辞用来比喻黑客、网络入侵、计算机病毒等阴谋诡计，也用来形容利用技术搞破坏的黑客。

黑帽在主流文化中常被描绘成一成不变的、非法的黑客群体，是“公众对计算机犯罪所有恐惧的缩影”。他们会闯入未经授权的计算机，破坏数据或使其不能正常使用，在发现安全漏洞时不会通知公众或制造商进行修复。对他们来说，个人的自由和访问权是凌驾与隐私和安全之上的。

他们也被传统黑客称为“骇客”。

白帽又被称为“道德黑客”（Ethical Hacker），

指因为非恶意的原因侵犯网络安全的黑客，比如受雇于公司来检测其内部网络系统的安全性，也包括在合同协议允许下对公司网络进行渗透测试和漏洞评估的人。

在黑客社区，所谓的“精英黑客”（Elite Hackers），即有计算机天赋，以非凡的黑客才能得到同行认可，也普遍遵循白帽的道德伦理，倾向于避免故意破坏数据或计算机系统，

其中很多成年的白帽在其青少年时期曾经有过骇客行为，尽管他们可能不总是承认。

“灰帽”一词最早可追溯到1997年，LLC向美国专利局申请Grayhat为商标，用来描述那些支持直接向软件供应商报告漏洞的黑客。

2004年，哈里斯等人出版了一本关于灰帽技术的书。作者认为，灰帽介于白帽和黑帽之间，通过渗透系统并告知供应商需要修复的地方来获取收入。

( Electronic Frontier Foundation电子前哨基金会)将灰帽定义为为了研究和提高安全性，无意中或可能违反法律的道德安全研究人员。

电话飞客最初是指研究和探索电信系统的玩家，

他们通常模拟2600MHz音调欺骗电话公司的电子装置以拨打免费电话，

这一行为被称为“电话盗用”（Phreaking）。

freak”（怪异）三个词组合而成。大约在1957年，仅仅8岁的乔发现他吹出的2600MHz口哨可以使付费记录停止，从此开启了电话盗用的无限可能性。后来约翰·德拉浦（John·

Draper）发现了一种哨子可以吹出2600MHz的音调，因此他被称为“嘎吱船厂”。

脚本小子（又称skiddie、 bunny、 kitty）指依赖于他人开发的程序和脚本进行黑客行为，并拒绝去了解它们是如何工作的人。

通常是那些没有能力自己写复杂的黑客程序的青少年，为了刺激或提升在同龄者间以及黑客社区的知名度，寻找现有的、众所周知的技术、程序或脚本来搜索和攻击互联网上的其他计算机。

脚本小子常常从某些网站上复制脚本代码，然后到处粘贴，却不一定明白它们的方法和原理，甚至不清楚其影响和潜在的有害后果。

他们称自己为黑客，却无视黑客文化的代表——追求知识、尊重技能和自学成才。

某种程度上脚本小子对如今黑客的名声造成了极为不利的影响。

1984年，《新闻周刊》记者史蒂芬·列维（Steven Levy）出版了历史上第一本介绍黑客的著作——

《黑客：计算机革命的英雄》（Hacker：Hero of the Computer Revolution）。该书首次阐述了黑客伦理及其形成过程中的贡献者，将其总结为六条。

（1） 使用计算机以及所有有助于了解这个世界本质的事物都不应受到任何限制。任何事情都应该亲手尝试。

（2）信息应该全部免费。

（3） 不信任权威，提倡去中心化。

（4） 判断一名黑客的水平应该看他的技术能力，而不是他的学历、年龄或地位等其他标准。

（5）你可以用计算机创造美和艺术。

（6）计算机使生活更美好。

黑客价值观的核心原则可以概括成五点：

1983年，布鲁斯·博斯克（Bruce Bethke）试图用一个词来结合朋克态度和高科技概念，于是创造了“ Cyberpunk”，作为其一部短篇小说的标题出版，小说讲述了一群黑客少年的故事。之后赛博朋克成为了科幻小说的一种文学体裁，内容以先进的科学、信息技术和控制论为特征，加上社会秩序某种程度的瓦解或根本性变革的背景，情节通常围绕黑客、人工智能及大型企业之间的矛盾而展开。

《银翼杀手》可以被看作是赛博朋克风格和主题的典型例子。

《银翼杀手》剧院发行海报

赛博朋克也在动画和漫画中占据重要位置：

亚基拉、铳梦、攻壳机动队、玲音、计算机线圈、死亡代理人、blame和心灵判官，

其作品在当中最为著名。

《攻壳机动队》真人版电影画面

赛博朋克作者试图从侦探小说、

黑色电影和后现代主义中汲取元素，

描绘20世纪最后20年数码化社会不为人知的一面。

赛博朋克的反乌托邦世界，被认为是20世纪中叶大部分人所设想的乌托邦未来的对立面。

社会工程学指通过蒙蔽、影响、劝导等方式与被攻击者建立一种虚假的信任关系，以达到获取信息的目的。 典型形式有

每种社会工程攻击的核心都依赖于人类的某种情绪，如贪婪、同情、好奇、虚荣等。

攻击者通常会利用上述这些情绪使计算机用户执行一个看似正常的操作，比如登录一个网上账户、点击电子邮件或者即时通信软件中的某个链接，但在这些看似正常的操作背后，用户的电脑通常会被安装恶意软件或泄露其敏感信息。

1978年某天，斯坦利·马克·瑞夫金（Stanley Mark Rifkin）借助其所在公司为美国保险太平洋银行开发数据备份系统的机会进入电汇交易室，并利用交易员的疏忽得到了电话转账交易的密码。然后他装扮成银行职员打电话给电汇室，让对方从纽约欧文信托公司（Irving Trust Company）贷1020万美元到瑞士苏黎世某银行他已经建立好的账户上。

瑞夫金没有使用武器，甚至无需计算机的协助就成功的实施了历史上最大的银行劫案。这其中用到的技巧和能力就被称为社会工程学。

端口扫描是入侵一台计算机前所做的信息搜集和分析工作。端口相当于一种数据的传输通道，用于接收某些数据，然后传输给相应的服务，电脑将这些数据处理后再把相应的服务通过开启的端口传给对方。 所以端口既可以是一个通信通道，也可以是一个潜在的入侵通道。攻击者先向目标主机发送探测数据包（主要针对TCP/IP服务器端口），并通过探测数据包反馈回来的数据判断服务端口是否开放。从开放的端口可以知道哪些服务正在运行，即处于监听状态，标识监听这的端口可以确定对方主机操作系统版本、运行网络环境、服务软件版本、应用程序等，进而推敲出整个网络架构（包括物理架构如路由器、交换机等）。通过得到的数据可以分析目标系统中存在的漏洞，进而允许未经授权的用户取得系统的访问权。

端口扫描可以手工，也可以通过端口扫描软件（Port Scanner）。比较著名的扫描器是Nmap（Network Mapper），因为具有许多功能而被认为是“瑞士军刀”，是评估网络系统安全的重要软件，也是黑客常用的工具之一。它可以避开检测系统的监视，并尽可能不影响目标系统的日常操作。Nmap曾在《黑客帝国》（The Matrix）中被崔妮蒂用以入侵发电站的能源管理系统。

漏洞是计算机系统在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷和不足。漏洞一旦被发现，攻击者就可使用这个漏洞获得计算机系统的额外权限，可在未授权的情况下访问或破坏系统，危害计算机系统安全。

漏洞问题与时间紧密相关。一个系统从发布的那一天起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，在系统供应商发布漏洞补丁或者新版本得以修正的同时也会引入新的漏洞和错误。

2014年4月8日，网络安全协议OpenSSL的超级大漏洞曝光。

OpenSSL就是互联网上销量最大的门锁。

最新曝出的这个漏洞，则让它成为无需钥匙即可开启的废锁。

这个漏洞最早由一批为谷歌和科诺康（Codenomicon，世界顶级安全性测试活动，关注模糊测试安全专题的全球唯一研讨会）工作的编程人员发现的。由于这个漏洞利用了OpenSSL的一个常用扩展工具Heartbeat，因此他们把这个漏洞命名为 “Heartbleed”（心脏出血）。据悉，这个漏洞已经存在两年多时间，一旦被恶意利用，意味着用户登录电商、网银的账户、密码等关键信息都有可能泄露。

SSL是一种流行的加密技术，可以保护用户通过互联网传输的隐私信息。当用户访问Gmail.com等安全网站时，会在URL地址旁看到一个“锁”，表明你在该网站上的通讯信息都被加密。

这个“锁”表明，第三方无法读取你与该网站之间的任何通讯信息。在后台，通过SSL加密的数据只有接收者才能解密。如果不法分子监听用户的对话，也只能看到一串随机字符串，而无法了解电子邮件、Facebook帖子、信用卡账号或其他隐私信息的具体内容。

SSL最早在1994年由网景推出，已经被所有主流浏览器采纳。最近几年，很多大型网络服务都已经默认利用这项技术加密数据。如今，谷歌、雅虎和Facebook都在使用SSL对其网站和网络服务进行加密。

在计算机领域中，零日漏洞或零时差漏洞（Zero-day exploit）通常是指还没有补丁的安全漏洞，而零日攻击或零时差攻击（Zero-day attack）则是指利用这种漏洞进行的攻击。

“零日”是指从漏洞被发现到软件商得知时的天数。这个词最初出现在网络论坛上，指一款新软件程序公开的天数。人们称那些尚未公开，但却已被黑客盯上、希望最先获取的软件为“零日软件”。

提供该漏洞细节或者利用程序的人通常是该漏洞的发现者。零日漏洞的利用程序对网络安全具有巨大威胁，因此零日漏洞不但是黑客的最爱，掌握多少零日漏洞也成为评价黑客技术水平的一个重要参数。

零日漏洞及其利用代码不仅对犯罪黑客而言，具有极高的利用价值，一些国家间谍和网军部队，例如美国国家安全局和美国网战司令部也非常重视这些信息。

据路透社报告称美国政府是零日漏洞黑市的最大买家。

僵尸网络使攻击者出于恶意目的，传播僵尸程序控制大量主机，并通过一对多的命令与控制信道所组成的网络。

僵尸程序“Bot”是“Robot”的缩写，是指能够按照预定义的指令执行操作，具有一定智能的程序。

攻击者将软件程序植入与互联网连接的服务器上，然后通过僵尸进程控制这些被植入的机器，一个被控制的受害用户终端成为僵尸网络的一个节点，可称为“僵尸主机”（Zombie,俗称“肉鸡”）。攻击者无需直接登录该客户端，僵尸主机能够针对攻击者发送的攻击命令协同合作进行任务。

2010年微软公司成功游说美国司法部签发法院令让277个与Waledac僵尸网络相关的域名停止运作。

Waledac僵尸网络感染逾10万台电脑

2011年4月13日美国联邦司法部和联邦调查局（FBI）宣布破获大批中毒电脑所组成的“僵尸网络”， 已全面关闭名为Coreflood服务器和网络域名，并对13名嫌疑人起诉。

该网络运作将近10年，全球有超过200万台个人电脑被Coreflood恶意程序感染。

拒绝服务攻击简称DoS攻击，亦称洪水攻击。是指使计算机或网络无法提供正常的服务，直至系统停止响应甚至崩溃的攻击方式。通常是通过使目标系统过载无效的、非期望的或特殊构造的数据实现。

当黑客使用网络上两个或以上被攻陷的电脑作为“僵尸”向特定的目标发动“拒绝服务”式攻击时，其称为分布式拒绝服务攻击（distributed denial-of-service attack，缩写：DDoS attack、DDoS）。

DDos攻击是当前最有效的主流攻击技术。攻击者首先在网络上寻找有漏洞的主机，入侵系统后安装攻击程序，其中一部分主机充当攻击的主控端，另一部分充当攻击的代理攻击端。最后各部分主机在攻击者调遣下对攻击对象发起攻击，用数千（或更多）的虚假请求轰炸目标计算机，导致计算机耗尽内存和其他资源而急剧减慢或停止。

DDoS攻击在2015年的主要目标

美国国土安全部旗下的美国计算机应急准备小组（US-CERT）定义的拒绝服务攻击症状包括：

网络异常缓慢（打开文件或访问网站）

垃圾邮件的数量急剧增加

无线或有线网络连接异常断开

长时间尝试访问网站或任何互联网服务时被拒绝

2014年2月，位于东京的MT.Gox比特币交易所申请破产保护，当时其宣称有85万比特币（价值约5.49亿美元）已经失踪。据报道MT.Gox在破产前一个月面临大规模的黑客进攻，每秒承受15万次的DDos攻击，最终造成数据崩溃。

2016年10月，域名系统提供商Dyn遭到迄今为止规模最大的DDoS攻击，数千万IP参与此次攻击。导致北美和欧洲的网络链接出现访问缓慢或无法访问的情况。

缓冲区是内存中存放数据的地方，用来接收和保存数据，直至进程对数据进行处理。由于各个进程都有自己的缓冲区，所以要保持各进程的缓冲区彼此无关。 缓冲区溢出是指一个程序要写的数据在可分配内存的范围之外。

在内存分配之后，缓冲区的长度是固定的，自身不能防止在保留空间中放入过多数据。当攻击者写一个超过缓冲区长度的字符串，植入到缓冲区，然后再向一个有限空间的缓冲区中植入超长的字符串，结果就会导致数据外溢，覆盖相邻内存空间。

缓冲区溢出就是利用这个布局中的堆栈段来作文章的。

堆：通常用来作为动态存储分配。

栈：自动变量和每次函数调用时所需保存的信息存放的地方。

栈是自顶向下生长的，栈还有一个特别的地方，就是先进后出，往栈放数据就像往洞里塞东西，取的时候只能先把最外面的拿走。

其中，最重要的一点： 栈中保存了函数调用时的返回地址。

缓冲区溢出的目的就是要将栈中保存的返回地址篡改成成溢出的数据，这样就间接修改了函数的返回地址，当函数返回时，就能跳转到预设的地址中，执行植入的代码。

缓冲区溢出攻击可能导致三个后果：

（1） 程序运行失败甚至系统崩溃

（2） 以普通用户身份植入并执行攻击代码

（3） 取得系统ROOT特级权限执行恶意代码

例如一个用途是对SONY的掌上游戏机PSP-3000的破解，通过特殊的溢出图片，PSP可以运行非官方的程序与游戏。

2003年，著名黑客斯蒂芬·艾瑟（Stefan Esser）曾利用缓冲区溢位漏洞，将Linux灌进全新完好的Xbox内并开机成功。这使未经授权的软件，包括自制程序游戏，不需要修改硬件就可以在控制台运行。

2006年11月9日，中国互联网协会公布了恶意软件的官方定义如下：

恶意软件（俗称“流氓软件”）是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件。

强制安装：指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装软件的行为。

难以卸载：指未提供通用的卸载方式，或在不受其他软件影响、人为破坏的情况下，卸载后仍活动程序的行为。

浏览器劫持：指未经用户许可，修改用户浏览器或其他相关设置，迫使用户访问特定网站或导致用户无法正常上网的行为。

广告弹出：指未明确提示用户或未经用户许可的情况下，利用安装在用户计算机或其他终端上的软件弹出广告的行为。

恶意收集用户信息：指未明确提示用户或未经用户许可，恶意收集用户信息的行为。

恶意卸载：指未明确提示用户、未经用户许可，或误导、欺骗用户卸载非恶意软件的行为。

恶意捆绑：指在软件中捆绑已被认定为恶意软件的行为。

其他侵犯用户知情权、选择权的恶意行为。

与病毒或蠕虫不同，这些软件很多不是小团体或者个人秘密地编写和散播，反而有很多知名企业和团体涉嫌此类软件。

“特洛伊木马”一词来源于古希腊神话，丹·爱德华兹（Dan Edwards）将其引入到计算机领域，简称木马， 指一类伪装成合法程序或隐藏在合法程序中的恶意代码。这些代码或者执行恶意行为，或者为非授权访问系统的特权功能提供后门。

因木马具有伪装、欺骗性，如自称为优秀的工具或游戏等诱使别人下载执行，作为电子邮件的附件发到目标系统诱使用户打开附件，在用户浏览网页时通过交互脚本植入等，常被经验不足或防范意识较差的用户执行。

软件后门指绕过软件的安全性控制，从比较隐秘的通道获取对程序或系统访问权的黑客方法。在软件开发时，设置后门可以方便修改和测试程序中的缺陷。但如果后门被其他人知道（可以是泄密或者被探测到后门），或是在发布软件之前没有去除后门，那么它就对计算机系统安全造成了威胁。

入侵者在利用某些方法成功控制目标主机后，可以在对方的系统中植入特定的程序，或者是修改某些设置，即安装后门。这些改动表面上很难被察觉，但是入侵者可以通过后门轻易与这台电脑建立连接，重新控制机器。后门可以避过系统管理员传统的清理方法，如修改密码，清理注册表/配置文件和删除可疑软件，也能逃避日志程序。

路透社曾报道，美国国家安全局（NSA）曾与海外加密技术公司RSA达成协议，要求在其移动鉴证产品广泛使用的加密技术中放置后门。（RSA是海外信息加密和安全认证领域的龙头企业，客户遍布国内外大型企业，拥有全球70%的市场份额）。虽然RSA在博客上否认了相关的内容，并声称自己的加密算法只使用了国家认证的协议，但NSA拒绝评论的态度让各方疑心重重。

从字面上来看， Root-kit 就是攻击者伪装成“根”目录的使用者，它源自于UNIX 系统，指“获得电脑root 权限的kit (软体工具组)”，故称为Rootkit。

Rootkit 会改变作业系统中的一些设定，好让攻击者变成受害者电脑中的“系统管理者”。

最早Rootkit用于善意用途，但后来Rootkit也被黑客用在入侵和攻击他人的电脑系统上，电脑病毒、间谍软件等也常使用Rootkit来隐藏踪迹，因此Rootkit已被大多数的杀毒软件归类为具危害性的恶意软件。

2005年的Sony BMG CD防拷丑闻即因Sony被人揭发暗中使用了Rootkit技术来防止盗版，有侵害用户隐私之嫌，并可能对用户系统造成威胁，因而引发轩然大波。Rootkit一词也从此事件开始更广为一般大众所知。

蠕虫是一种独立的可以自我复制的代码，并无需人为干预就能主动通过网络传播。传播途径一般有共享文件夹、电子邮件、系统漏洞、恶意网页等。

蠕虫未必会直接破坏被感染的系统，却 几乎都对网络有害。计算机蠕虫可能会执行垃圾代码以发动分散式阻断服务攻击，令计算机的执行效率极大程度降低，从而影响计算机的正常使用；可能会损毁或修改目标计算机的档案；亦可能只是浪费带宽。

（恶意的）计算机蠕虫可根据其目的分成2类：

一种是面对大规模计算机使用网络发动拒绝服务的计算机蠕虫。

另一种是针对个人用户的以执行大量垃圾代码的计算机蠕虫。

计算机蠕虫多不具有跨平台性，但是在其他平台下，可能会出现其平台特有的非跨平台性的平台版本。

第一个被广泛注意的计算机蠕虫名为：“莫里斯蠕虫”，由罗伯特·泰潘·莫里斯编写，于1988年11月2日释出第一个版本。这个蠕虫间接和直接地造成了近1亿美元的损失。莫里斯蠕虫释出之后，引起了各界对计算机蠕虫的广泛关注。

硅谷计算机历史博物馆存放的包含蠕虫源代码副本的软盘

“逆向工程”这一术语最早来源于机械工程领域，后被引入软件工程领域。

逆向工程，又称反向工程，是一种技术过程，即对一项目标产品进行逆向分析及研究，从而演绎并得出该产品的处理流程、组织结构、功能性能规格等设计要素，以制作出功能相近但又不完全一样的产品。

这个过程是为了维护或创建新的同样功能的设备或程序，而不是简单复制原版。

对于逆向工程的合法性问题一直存在争议，比如在实现两个程序的互操作性、开发竞争软件或是涉及版权法时。最接近反逆向工程法的法案是美国数字千禧版权法（the Digital Milliennium Copyright Act,DMCA）。该法案在1998年制定，主要目的是保护版权保护技术，禁止规避版权保护系统、禁止开发规避技术。

2001年7月，FBI逮捕了俄罗斯程序员德米特里·斯克亚罗夫（Dmitry Sklyarov），Adobe控告他违反了DMCA。斯克亚罗夫在墨西哥一家名为ElcomSoft的软件公司工作时，曾对Adobe eBook文件格式做了逆向工程，他利用得到的信息开发了一个称为Advanced eBook Processor的程序，这个程序能破解eBook文件，使其可用任意PDF阅览器阅读。意味着原先关于浏览、打印或拷贝eBook文件的限制都被绕过了，文件也不再受保护。

最终ElcomSoft和斯克亚罗夫被宣告无罪，因为陪审团认为开发人员最初就没有意识到自己行为实际上是非法的。