初入网安江湖：一次真实的校园网攻防事件复盘

2023年9月15日凌晨3点17分，南方某省属高校的网络运维中心值班电话被瞬间打爆。刚入职网络安全运维岗不到三个月的林默被同事拍醒的时候，还以为是食堂的早餐供应提前了——直到他看见监控大屏上跳红的告警数量，后背的凉意瞬间盖过了困意：校园网核心交换机的外网出口流量是日常峰值的17倍，3台教务服务器、2台图书馆检索服务器、以及分布在12栋宿舍楼里的127台学生电脑，文件后缀全部被改成了`.locked`，屏幕中央弹着一个猩红的勒索窗口，明码标价：2个比特币，折合人民币约28万元，否则所有数据将在72小时后永久销毁。

林默抱着笔记本往运维中心跑的时候，宿管李阿姨慌慌张张从3号宿舍楼方向冲过来，手里还攥着半块没吃完的月饼：“林老师你可算来了！3号楼307的姑娘哭晕在厕所里了，说电脑里的毕业论文全没了，还有找工作的一堆材料，刚才120都来了！”他顾不上多说，跟着李阿姨往3号楼跑，走廊里已经乱成一锅粥：有的学生抱着电脑蹲在地上敲敲打打，有的在给家里打电话哭诉，还有的对着宿管阿姨骂学校网安部门是吃干饭的。307宿舍的门开着，一个扎马尾的女生坐在床上，眼睛肿得像核桃，面前的笔记本电脑屏幕上正是那个猩红的勒索窗口，桌面上摆着打印到一半的毕业论文初稿，标题是《基于深度学习的工业缺陷检测算法研究》。

“同学你先别急，我是网安运维的林默，我们先看看有没有恢复的可能。”林默先递了张纸巾过去，顺手把女生的电脑拔了网线——这是他入职培训时学的第一课：遇到疑似恶意攻击的设备，第一时间断网，防止病毒扩散。他接上自己的U盘（提前装好了离线杀毒工具的专用U盘，从来不插其他设备），先做了个内存镜像留存，然后翻看系统日志，很快找到了攻击痕迹：凌晨2点12分，女生打开了一封伪装成“教务处奖学金公示”的钓鱼邮件，下载了附件里的“公示表格.xlsx”，点开之后病毒就自动运行了。

“这就是典型的钓鱼攻击入门流程。”林默转头跟跟过来的同事解释，他知道旁边还有几个大三的实习生跟着学习，得抓住机会讲基础概念，“钓鱼攻击就像现实里的‘骗子冒充警察给你打电话’，攻击者伪装成你信任的机构（比如学校、银行、公司），给你发带恶意附件的邮件、短信，只要你点开附件、输入账号密码，就等于主动把家门钥匙交给了小偷。根据《2023年中国网络安全威胁态势报告》，超过43%的企业级入侵事件初始入口都是钓鱼邮件，是排名第一的攻击手段。”

旁边的实习生小周凑过来问：“那这个病毒是怎么跑到她电脑里的？我们电脑都装了杀毒软件啊。” 林默点了点女生的电脑屏幕，右下角的Windows安全中心显示，系统已经半年没更新了：“这就是第二个问题：系统漏洞。微软每个月都会发布系统安全补丁，修掉系统里已经被发现的缺陷，这个女生的系统停了半年的自动更新，攻击者利用的刚好是Windows系统一个已经公开了快一年的远程代码执行漏洞，只要点开带恶意代码的附件，就能直接在用户的电脑上执行任意命令，杀毒软件如果没更新到最新的特征库，根本识别不出来。”

他说的这个漏洞就是CVE-2021-34527，也就是俗称的“PrintNightmare”打印漏洞，编号里的“CVE”是“通用漏洞披露”（Common Vulnerabilities and Exposures）的缩写，相当于网络世界的“缺陷公示栏”，全球的安全研究员发现新的软件缺陷都会往里面登记，分配一个唯一编号，方便全行业的人交流。林默入职的时候，师傅给他上的第一课就是“CVE编号是网安从业者的通用语言，看到编号先查详情，知道漏洞原理、影响范围、有没有补丁，是基本功”。

处理完3号楼的情况，林默回到运维中心，发现告警还没停：核心服务器也被加密了，教务系统彻底瘫痪，选课、成绩查询全部停用，图书馆的检索系统也登不上，学生的借阅记录、超期罚款全部没法处理。他先按照应急流程，把核心交换机里感染设备的端口全部断开，然后调取过去24小时的全网流量日志，很快就找到了初始入侵入口：凌晨1点47分，攻击者扫描到了学校旧版VPN系统的443端口开放，而这个VPN系统用的是已经停止维护的旧版本，存在CVE-2022-22965远程代码执行漏洞——攻击者根本不需要账号密码，只要构造一个特殊的HTTP请求，就能直接在VPN服务器上执行任意命令，拿到服务器的最高权限。

“这个漏洞我上周刚在漏洞公告里看到，我给领导打了三次报告让升级VPN系统，都说要等暑假再弄。”运维中心的老张敲了敲桌子，满脸愧疚，“没想到真出事了。” 林默没说话，他心里清楚，这种“等有空再修”的心态是很多单位的通病：总觉得攻击离自己很远，等真出事了就晚了。他调出VPN的访问日志，发现攻击者拿到服务器权限之后，先是扫了一遍内网的所有设备，然后找到了密码设置最薄弱的几台服务器：教务系统的数据库管理员密码是“123456”，图书馆系统的密码是“lib@2022”，甚至还有一台测试服务器的密码直接写在桌面的便签里，写着“测试服务器密码：test123”。攻击者用这几个弱口令轻松登录了服务器，然后把勒索病毒批量部署到了所有能访问的Windows设备上，最后还删除了所有的自动备份文件——显然，攻击者不是新手，知道删了备份用户就只能交赎金。

这里需要给初学者解释清楚几个核心概念，这也是本章要讲的第一个重点：常见的攻击类型和原理。目前校园网、企业网最常遇到的攻击，基本可以分成三类： 第一类是漏洞利用攻击，就像这次事件里的CVE-2022-22965漏洞，相当于你家门锁有个设计缺陷，小偷拿个铁丝一捅就开，根本不需要钥匙。根据国家信息安全漏洞共享平台（CNVD）2023年的统计，全年共收录通用安全漏洞超过2.3万个，其中高危漏洞占比超过35%，只要软件厂商发布了补丁，用户不打，就等于家门开着等小偷进来。 第二类是弱口令攻击，刚才说的“123456”“test123”这种密码，就是典型的弱口令。根据《2023年全球密码安全报告》，超过41%的用户还在使用“123456”“password”“生日”这类弱口令，攻击者用工具跑一遍，几秒钟就能试出来。`#弱口令` 这里要特别提醒初学者：密码绝对不能设置成简单的数字、生日、姓名拼音，至少要有8位，包含大小写字母、数字、特殊符号，不同平台的密码不能一样，不然一个平台泄露了，所有平台都被攻破。 第三类是社会工程学攻击，比如这次事件里的钓鱼邮件，还有伪装成客服给你打电话要验证码、伪装成HR让你点链接填个人信息，都是社会工程学攻击。这种攻击不需要任何技术基础，只需要利用人的信任、贪婪、恐惧心理，就能拿到想要的信息，是现在最难防范的攻击类型之一。

林默一边查日志一边记录攻击路径：攻击者先是利用VPN漏洞拿到外网入口权限，然后用弱口令登录内网服务器，部署勒索病毒，横向移动加密所有设备，最后删除备份索要赎金。整个攻击过程只用了不到40分钟，要不是学校的核心交换机有流量告警，可能等到早上学生起来上课才发现，那时候数据早就被加密完了。

这里要解释一下横向移动`#横向移动`：攻击者拿到一台设备的权限之后，不会只满足于这一台，会像小偷进了单元楼挨家挨户撬门一样，利用内网的信任关系（比如所有服务器都用同一个管理员账号、内网没有访问权限隔离），往其他设备跳转，扩大攻击范围，这个过程就叫横向移动。这次事件里，攻击者拿到VPN服务器的权限之后，直接就能访问内网的所有服务器和终端，就是因为内网没有做权限隔离，相当于小偷进了单元楼，发现所有门都没锁，随便进。

接下来的应急处置是重头戏。林默先按照标准流程，把攻击者留在服务器上的所有痕迹都留存了下来：内存镜像、系统日志、恶意文件样本，这些是后面溯源追责的核心证据。然后他先联系VPN厂商，拿到了CVE-2022-22965的官方补丁，给VPN系统打了补丁，然后重置了所有服务器、管理员账号的密码，要求所有密码必须符合复杂度要求，每90天更换一次。接下来是数据恢复，教务系统因为有每日离线备份，所以只花了2小时就恢复了，但是3个学院的行政数据因为最近一次备份是3天前，而且备份文件存在和服务器同一个机柜的硬盘里，被攻击者一起删除了，最终丢失了3天的数据：有个学院的科研项目申报截止日期刚好是9月15日，丢失的申报数据里有3个国家级项目的申报书，最后不得不向基金委申请延期，损失了至少50万的潜在科研经费。

这里要给初学者讲一个非常重要的安全原则：3-2-1备份原则`#数据备份`，这是防范勒索病毒最有效的手段，没有之一。3-2-1原则的内容是： 1. 3份数据副本：你要存的重要数据，至少要有3份，一份在本地，一份在移动存储，一份在异地； 2. 2种不同存储介质：不要把所有副本都存在硬盘里，至少要有两种不同的存储介质，比如硬盘+云盘+光盘，避免某一种介质集体失效； 3. 1份离线异地存放：至少有一份备份是不连网的、存放在和本地不同的地方，比如云盘、公司的异地备份机房，防止本地被攻击、被偷、被烧了，备份也没了。

很多人觉得“我没什么重要的数据，不需要备份”，但这次事件里，连那个大四女生的毕业论文都因为没备份丢了，最后是林默带着实习生，用内存里的残留数据恢复了部分内容，剩下的部分是她凭记忆重写的，熬了3个通宵才赶在答辩前补完。要是她当时有把论文存在云盘的习惯，根本不用受这个罪。

数据恢复完之后，林默跟着当地网安支队的同志做溯源。他们先查了攻击者的比特币钱包地址，发现攻击者已经提现了0.8个比特币，折合人民币11万左右，但是攻击者太蠢了，提现的时候用的是自己实名的支付宝账号，网安支队顺着实名信息很快就找到了人：是该校计算机系大三的学生陈某，平时就喜欢在网上看黑客技术教程，加入了几个所谓的“黑客交流群”，群里有人卖勒索病毒工具包和漏洞利用脚本，陈某最近想换手机，就花200块钱买了工具包，想试试能不能搞点钱。

陈某的供述里说，他根本没想过会被抓到：他以为比特币是匿名的，以为学校的网安根本查不到他，而且他用的勒索病毒工具包是群里的人打包好的，他只要填个收款地址，然后用扫描器扫一遍校园网的IP段，发现有暴露的VPN端口，就试了试漏洞利用脚本，没想到直接拿到了服务器权限，他就把病毒扔到了内网里，然后等着收钱就行。他甚至都不知道自己用的是CVE-2022-22965漏洞，也不知道这个漏洞早就被修复了，只是觉得“这个脚本能用就行”。

这个案例其实非常典型，现在90%以上的攻击者都不是电视里演的那种“技术高超的黑客”，而是所谓的“脚本小子”`#脚本小子`：他们不会自己写攻击代码，只会用别人写好的现成工具，下载下来填个目标地址就能跑，技术水平很低，但是破坏力一点都不小。就像你拿着现成的撬棍去撬门，不需要会做撬棍，只要会撬就行。根据《2023年全国网络安全事件分析报告》，超过70%的网络入侵事件都是脚本小子所为，其中超过30%的作案者还是未成年人或者在校学生，很多都是为了炫技、赚点零花钱，根本不知道自己的行为已经触犯了法律。陈某最后被行政拘留10天，学校给了记过处分，他的保研资格直接被取消，考研复试的时候也被刷了，一辈子的档案里都留了污点。

事件处理的最后一步是复盘。林默跟着网安支队的人开了整整3天的复盘会，把整个攻击过程的每一个环节都拆解了一遍：为什么VPN系统没及时升级？为什么管理员的密码是弱口令？为什么备份和服务器放在同一个机柜？为什么内网没有做权限隔离？每一个问题都对应着一个防护短板，而这次攻击刚好就是钻了这些短板的空子。

复盘会上，网安支队的张队长给所有人讲了一个核心观点：攻击与防护是一体两面的博弈，没有绝对的安全，只有持续的对抗`#攻防博弈`。很多人觉得“我装了防火墙、杀了毒、打了补丁就绝对安全了”，其实根本不是：防火墙能防已知的攻击，但是防不了0day漏洞（就是软件厂商还没发现、还没发布补丁的漏洞，攻击者先发现了用来攻击，相当于你家的锁厂商还没知道锁有缺陷，小偷已经先知道了，防不胜防）；杀毒软件能防已知的病毒，但是防不了攻击者自己写的定制化恶意软件；你打了所有已知的补丁，但是新的漏洞每天都在出现，你不可能永远第一时间打补丁。安全不是一个“一劳永逸”的状态，而是一个“持续对抗”的过程：攻击者在不断找新的漏洞、新的攻击手法，防护者就要不断更新防护策略、修补短板，就像矛和盾，永远在互相升级。

林默那天晚上在运维中心坐了很久，他看着屏幕上恢复正常的教务系统，突然意识到自己之前对网

林默那天晚上在运维中心坐了很久，他看着屏幕上恢复正常的教务系统，跳动的流量数字从刚才的17倍峰值慢慢降到了日常的1.2倍，走廊里的嘈杂声也渐渐平息，只有空调的嗡鸣声在空荡荡的运维中心里回响。他想起三个月前入职的时候，师傅老周带他去逛校园网的核心机房，指着那台堆在角落里的旧VPN服务器说：“这台机器服役快6年了，厂商早就不提供技术支持了，我之前提了三次换新的，领导说预算不够，再扛一年。”当时他还没意识到这句话的分量，直到今晚的攻击直接钻了这个“扛一年”的空子。

旁边的老周递过来一杯凉掉的茶，拍了拍他的肩膀：“第一次碰见这种事都懵，我入行十年，碰见的勒索病毒事件不下二十起，每次都觉得有新的教训。”他说的“勒索病毒”是英文“Ransomware”的直译，本意是“勒索软件”，是现在全球最泛滥的网络攻击类型之一，根据国家计算机网络应急技术处理协调中心（CNCERT）2023年发布的《中国网络安全态势报告》，2023年我国境内遭遇勒索病毒攻击的企事业单位超过4.7万家，造成的直接经济损失超过120亿元，其中教育行业占比12%，排在所有行业的前三位。全球网络安全服务商卡巴斯基的统计显示，2023年全球勒索攻击造成的总损失超过300亿美元，比2022年增长了37%，其中超过60%的攻击目标都是中小型单位，因为它们的防护能力弱，攻击成本低。

> 📌 电子版侧边栏提示：点击此处查看2023年中国网络安全威胁态势报告核心数据摘要（附超链接：https://www.cert.org.cn/publish/main/upload/File/2023nianbao.pdf）

这时候复盘会的通知发了过来，网安支队的张队长要求所有人第二天上午9点到会议室，把整个攻击事件的所有环节全部拆解开，找短板、补漏洞。林默把当晚留存的攻击样本、全量日志、内存镜像全部拷到了专用的证据硬盘里，贴上了“机密·仅限溯源使用”的标签——这是他师傅教他的第一课：网安工作的所有证据必须完整留存，格式统一，标签清晰，不然到了溯源阶段证据链不完整，根本没法定责。他特意把攻击者留在VPN系统里的隐藏后门也一并删除了，这个后门是攻击者用来长期控制服务器的，要是留着，等 VPN 修好之后，攻击者还能随时进来。

第二天的复盘会开了整整三个小时，参会的有网安支队的同志、学校的后勤分管领导、网安部门的全体人员，还有三个跟着实习的大三学生。张队长第一个发言，他今年42岁，入行18年，参与过上百起重大网络攻击事件的溯源和处置，说话干脆利落，没有一句废话：“今天这个会不是追责会，是补短板会，我们先把这个攻击的整个路径画出来，哪一步我们能防住没防住，清清楚楚。”

他让旁边的技术员把攻击路径图投到了大屏幕上，用Mermaid流程图清晰还原了攻击者的每一步操作：

```mermaid graph LR A[攻击者花200元购买勒索工具包] --> B[用扫描器批量扫描高校IP段] B --> C[发现旧版VPN的443端口暴露且存在CVE-2022-22965漏洞] C --> D[构造恶意HTTP请求获取VPN服务器最高权限] D --> E[扫描内网设备，发现3台服务器使用弱口令] E --> F[用弱口令登录教务/图书馆/科研服务器] F --> G[批量部署勒索病毒并删除所有自动备份文件] G --> H[横向移动加密所有可访问的Windows终端] H --> I[弹出勒索窗口索要2个比特币] I --> J[攻击者通过混币器洗币后提现至实名账户] ```

张队长指着图说：“整个攻击路径一共12步，其中4步是我们完全可以防住的，但是都没防住：第一步，VPN系统存在已经公开3个月的高危漏洞，我们打了补丁攻击者就进不来；第二步，服务器用弱口令，我们要求密码复杂度攻击者就登不上；第三步，备份和服务器放在同一个机柜，我们遵循3-2-1备份原则数据就不会丢；第四步，内网没有做权限隔离，攻击者拿到一台服务器权限之后没法横向移动到其他设备。剩下的几步是攻击者的攻击手法，我们可以通过流量监测、入侵检测系统提前发现，但是我们的IDS规则半年没更新了，根本没识别出攻击者的横向移动流量。”

他说的IDS是“入侵检测系统”（Intrusion Detection System），相当于网络世界的“安防摄像头”，专门监测网络里的异常流量和攻击行为，规则就是摄像头的识别标准，规则越新，能识别的攻击手法越多。这次事件里，攻击者在内网横向移动的时候，流量特征非常明显：一台服务器短时间内批量访问其他服务器的445端口（Windows文件共享端口），同时有大量的文件加密操作，但是IDS的规则还是半年前的，根本没识别出来，相当于摄像头坏了，小偷在屋里逛了半小时都没人发现。

接下来是自由讨论环节，后勤的王主任先发言，语气里带着愧疚：“我们之前也觉得网安没那么重要，每年给的预算只有5万，只能买基础的防火墙，请不起专职的安全工程师，林默是今年才招的第一个专职的，之前都是运维兼着，这次出了事才知道，不出事没事，一出就是大事。”他的话其实道出了现在很多中小单位、高校的网安现状：网安是“非接触性”的工作，不出事没人觉得你有用，出事了你就是背锅的，所以预算永远不够，人员永远不足，整改永远滞后。

这时候张队长讲了一个他去年处置的真实案例：某地级市的三甲医院，也是被勒索病毒攻击，攻击者利用的是医院HIS系统（医院信息系统，Hospital Information System）的未授权访问漏洞，拿到了服务器权限，加密了所有病历、检验报告、手术排班数据，索要300万美元的赎金。医院没办法，只能停摆所有门诊和手术，花了整整3天才恢复部分系统，期间有12台手术被迫推迟，其中3个重症患者因为没法拿到检验报告，用药延误，差点出事。最后医院没办法，交了150万美元的赎金，才拿到解密密钥，但是丢失了前一周的所有病历数据，被23名患者起诉，赔了200多万。“你们这次只是丢了3天的行政数据和几个学生的论文，要是攻击的是教务系统的核心数据库，把几万学生的成绩、学籍数据全加密了，或者把国家级科研项目的核心申报数据删了，那损失就不是几十万能算过来的。”

张队长的话让会议室里一片沉默，林默想起上周处置的时候，那个大四女生哭着说“我的论文要是没了，我毕不了业，找工作也没戏”，当时只觉得是学生的个人问题，现在才知道，数据安全不是小事，小到个人的毕业论文、求职材料，大到医院的病历、学校的学籍、企业的核心技术数据，都是实实在在的民生问题和财产损失。

接下来张队长给在场的实习生们讲了网安从业者的日常工作，很多初学者以为网安就是影视剧里演的“黑客”，天天在网上攻击别人、炫技，其实完全不是。国内的网安从业者主要分成四大类，占比和日常工作内容各有不同： 第一类是防护类从业者，占比超过70