软件开发安全与攻防基础

整理日期：2026-07-02 补充自 9.04-security-thinking.md，涵盖安全分层全景、后端防护实践、渗透测试与漏洞挖掘

〇、先澄清一个常见误解

很多人一听到"安全"就只想到"网络安全"——防火墙、DDoS、HTTPS。但实际上，网络安全只是软件开发安全的其中一层。

软件开发安全的完整分层

软件开发安全
├── 网络安全          ← 数据在"路上"是否安全
├── 应用安全          ← 代码有没有漏洞（后端最直接面对的）
├── 数据安全          ← 数据存哪里、怎么加密、谁可以看
├── 身份与访问管理    ← 你是谁、你能干什么
├── 软件供应链安全    ← 引用的第三方库有没有问题
├── 基础设施安全      ← 服务器、容器、云平台本身的配置安全
├── 业务安全          ← 不是技术漏洞，而是逻辑上被钻了空子
└── 合规与治理        ← 法律要求的做到了吗

每一层关心什么

举例：一个电商网站出事故，各层怎么划分

注意：现实中没有哪层是完全独立的。一次越权漏洞，可能是应用安全（代码没校验），可能导致数据安全（泄露他人数据），如果被爬虫批量利用，也是业务安全问题。

一、网络安全整体范围（全景图）

业内通常按 CIA 三要素（机密性、完整性、可用性）分类，在上一节的分层框架下，网络安全这一层又可以展开成以下具体领域：

1. 网络层安全

2. 传输层安全

3. 应用层安全 ★ 后端开发主战场

4. 数据层安全

5. 基础设施安全

6. 业务安全

7. 合规与隐私

二、后端开发必须守住的底线（按优先级）

🔴 第一优先级：不做好就是事故

🟡 第二优先级：容易被忽视但后果严重

🟢 第三优先级：锦上添花

三、攻防基础：红蓝对抗、渗透测试与漏洞挖掘

第二章节是"防御侧"的工程底线。但要真正理解安全，还需要知道攻击是怎么发生的——这一章补充攻防视角。

1. 红蓝对抗（Red Team vs Blue Team）

红蓝对抗是模拟真实攻防的安全演练，核心角色如下：

典型红蓝对抗流程：

红队行动链：
侦察（信息收集）→ 武器化（制作 Payload）→ 投递（钓鱼/漏洞利用）
→ 漏洞利用（Getshell）→ 安装（持久化后门）→ C2（远控）
→ 横向移动（跨系统蔓延）→ 数据窃取/目标达成

蓝队对抗链：
发现 → 检测 → 分析 → 响应 → 溯源 → 修复

关键认知：红蓝对抗不是比赛，红队胜了蓝队不意味着"蓝队差"——目标是发现防御盲区，持续改进。

2. 渗透测试

渗透测试（Penetration Testing）是有授权地模拟攻击，系统性地发现系统安全弱点。

标准流程

① 信息收集 → ② 漏洞扫描 → ③ 漏洞利用 → ④ 权限提升 → ⑤ 后渗透 → ⑥ 报告

渗透测试的三种类型

3. 漏洞挖掘

漏洞挖掘是系统性地发现未知漏洞的过程，比渗透测试更底层、更偏研究。

常见方法

漏洞参考框架：OWASP Top 10（2021）

这是 Web 应用安全最权威的漏洞分类框架：

漏洞挖掘的合法渠道

⚠️ 法律红线：未经授权的渗透测试 = 违法行为。所有攻防操作必须在授权范围内进行。

核心原则

后端安全的本质就是一句话——永远不信任客户端传来的任何东西。

用户的输入、Token、上传的文件、请求的 Header……每一样都要在后端再做一次校验。因为你永远不知道这到底是真的用户，还是一条构造好的攻击数据包。