針對 CISSP 考試大綱 (Security Operations、Software Development Security) 中的惡意代碼與應用程式攻擊領域，整理高頻考點與實務對應知識，助力備考與實務銜接。

一、惡意代碼 分類與傳播技術

來源分類

• 高手：具備深厚技術功力，編寫客製化惡意代碼、0day 利用、APT 武器化。
• 腳本小子：使用現成工具/腳本/漏洞利用框架 (Metasploit、Cobalt Strike、公開 PoC)，技術淺薄但數量龐大，造成廣泛騷擾。

病毒傳播技術

類型	感染目標	特徵	代表案例
開機區/主引導記錄 (MBR/Boot Sector)	磁區第 0 軌第 1 扇區 / 分區啟動區	早期主流，感染開機程式碼，OS 載入前即執行	Stoned、Michelangelo
檔案型病毒	可執行檔 (.exe, .com, .dll, .scr)	前綴/後綴/空洞注入，執行時優先運行病毒碼	CIH (空洞感染)、Sality
巨集病毒	Office 文件 (Word/Excel/PPT)、腳本 (VBS/JS/WSH)	跨平台、易傳播、利用巨集自動執行功能	Melissa、ILOVEYOU、Emotet (巨集下載器)
多重感染 (Multipartite)	同時感染啟動區與檔案	清除難度高，需同步處理兩類目標	Tequila、One_Half

病毒逃避與隱藏技術

• 隱形病毒：攔截系統呼叫 (INT 13h/21h 或 API Hooking)，偽造乾淨資料回傳給檢測工具。
• 多型病毒：每次感染重寫自身代碼 (指令替換、垃圾指令插入、加密解密器變異)，特徵碼無法匹配。
• 加密病毒：主體加密，僅保留小型解密器，運行時解密執行，靜態分析困難。
• 元病毒/重寫病毒：重寫自身邏輯結構 (Metamorphic)，無固定解密器，極難特徵匹配 (如 Zmist、Simile)。

其他惡意代碼類型

類型	定義與特徵	關鍵點
木馬	偽裝合法程式，實執行惡意功能 (後門、竊密、下載、破壞)。不具自我複製能力。	BO (Back Orifice)、Sub7、現代 RAT (Cobalt Strike Beacon、Sliver、Meterpreter)
蠕蟲	獨立傳播，利用網路漏洞/弱口令/共享/郵件/IM 自動擴散，無需宿主檔案。	Code Red (IIS .ida)、SQL Slammer (UDP 1434)、WannaCry (EternalBlue/MS17-010)、Conficker
僵屍網路	受控主機群 (Bot) + C2 伺服器 (Botmaster)。用於 DDoS、垃圾郵件、挖礦、代理、情報蒐集。	Mirai (IoT)、Trickbot、Emotet、Qakbot；C2 架構：IRC/HTTP/P2P/DGA/DNS/區塊鏈
間諜軟體/廣告軟體	竊取瀏覽習慣、按鍵記錄、螢幕截圖、認證資訊；強制彈窗廣告、修改主頁/搜尋引擎。	CoolWebSearch、Gator、現代資訊竊取器 (RedLine、Raccoon、Vidar)
邏輯炸彈	預設觸發條件 (時間、事件、使用者動作) 才啟動破壞行為。	內部威脅常見手法，難以靜態偵測
騙局	虛假病毒警告郵件/訊息，誘導用戶刪除關鍵系統檔案或傳播恐慌。	社交工程變種，非技術性惡意代碼
行動代碼	Java Applet、ActiveX、JavaScript、WebAssembly、Silverlight、Flash (已淘汰)。沙箱逃逸風險。	簽名驗證、沙箱逃逸 (CVE-2012-0507 等)、Click-to-Play/禁用策略

二、反病毒軟體處理機制

處理動作	定義	適用場景
清除	移除惡意代碼並修復受感染檔案至原狀	已知病毒、可逆感染 (如巨集病毒、部分檔案感染器)
刪除/隔離	直接刪除檔案或移至隔離區 (無法修復或風險過高)	木馬、蠕蟲主體、加密勒索後的檔案、不可修復感染
封鎖/阻斷	阻止惡意程式執行/寫入/網路連線	行為偵測、記憶體保護、網路連線阻斷 (C2、惡意 URL)

輔助工具：Tripwire / AIDE / OSSEC / Wazuh / Windows File Integrity Monitoring (FIM) — 偵測未授權檔案變更 (完整性檢查)，發現 Rootkit/隱形病毒/竄改配置。

三、密碼攻擊向量

1. 猜測攻擊：針對預設/弱密碼 (admin/admin、123456)、個人資訊 (生日、電話)。
2. 字典攻擊：使用常見密碼字典 (rockyou.txt、SecLists) 高速嘗試。
3. 混合/掩碼攻擊：字典 + 規則變形 (大小寫、數字替換、符號附加)。
4. 彩虹表攻擊：預計算雜湊鏈表，以空間換時間破解未加鹽雜湊 (LM/NTLM/MD5/SHA1)。
5. 社交工程：釣魚、語音釣魚、誘餌、尾隨、假冒技術支援 — 攻擊人性而非演算法。
6. 離線破解：取得雜湊 (SAM/NTDS.dit/影子副本/記憶體) 後離線暴力破解 (Hashcat/John the Ripper)。
7. Pass-the-Hash / Pass-the-Ticket / Golden/Silver Ticket：利用 Kerberos/NTLM 認證協定特性橫向移動。

四、拒絕服務攻擊 (DoS/DDoS) 分類

攻擊類型	層級	機制	緩解關鍵
SYN Flood	L4	半連接隊列耗盡	SYN Cookies、SYN Proxy、TCP Intercept、擴大回log隊列
UDP Flood / 反射放大 (NTP/DNS/SSDP/CLDAP/Memcached)	L4	頻寬飽和、封包率飽和	邊緣清洗、Anycast、速率限制、BCP38 入口過濾
HTTP Flood / CC 攻擊	L7	耗盡應用伺服器資源 (CPU/記憶體/資料庫連線)	WAF、Rate Limiting、JS Challenge、人機驗證、快取/CDN 卸載
Slowloris / Slow POST / R.U.D.Y.	L7	低速佔用連接槽	連接超時縮短、反向代理緩衝、最大連接數限制
Smurf / Fraggle	L3/L4	ICMP/UDP 廣播反射	禁用導向廣播 (no ip directed-broadcast)、入口過濾
Teardrop / Land / Ping of Death	L3/L4	異常分片/同源同目的/超大 ICMP	修補核心、防火牆異常封包過濾、IDP/IPS 特徵
DNS 放大/毒化	L7	開放解析器放大、快取投毒	關閉開放解析、DNSSEC、隨機化 TXID/埠號、Response Rate Limiting

五、應用程式攻擊 (OWASP Top 10 核心)

攻擊類型	原理	防禦核心
緩衝區溢出	輸入超出緩衝區邊界覆蓋返回位址/SEH/函數指標，劫持控制流	DEP/NX、ASLR、CFG/CET、Stack Canary (GS/SSP)、安全函式 (strncpy_s)、編譯器強化 (/GS、FORTIFY_SOURCE)、代碼審計、模糊測試
TOCTOU (Time-of-Check to Time-of-Use)	檢查與使用間隙竄改檔案/資源 (符號連結攻擊、暫存檔競爭)	原子操作、檔案描述符傳遞、避免檢查後再使用模式、權限分離
後門	開發/維護階段植入、Rootkit 掛鉤、Webshell、影子帳號、C2 通道	程式碼簽名驗證、完整性監控 (FIM)、最小權限、網路行為基線、供應鏈安全 (SLSA/SBOM)
Rootkit	核心層/使用者層隱藏進程/檔案/網路/登錄檔；掛鉤 SSDT/IDT/IRP/MSS、DKOM、eBPF	安全啟動、VBS/HVCI、核心簽名強制、UEFI 掃描、記憶體取證 (Volatility)、行為偵測 (EDR)
跨站腳本 (XSS)	反射型/儲存型/DOM-based：惡意腳本在受害者瀏覽器執行，竊取 Session/Cookie、鍵盤記錄、釣魚、惡意下載	輸入驗證/輸出編碼 (Context-Aware Encoding)、CSP (Content-Security-Policy)、HttpOnly/SameSite Cookie、DOMPurify、框架自動逃逸 (Razor/Blazor/React/Vue)
SQL 注入	未參數化查詢拼接使用者輸入，改變 SQL 語義 (聯合查詢、盲注、堆疊查詢、延時注入)	參數化查詢/預編譯語句 (PreparedStatement)、ORM 安全用法、最小權限資料庫帳號、WAF 虛擬補丁、錯誤訊息隱藏

六、偵察與偽裝攻擊

• 偵察：IP 掃描 (ICMP/TCP SYN/ACK)、埠掃描 (Nmap/Zmap/Masscan)、漏洞掃描 (Nessus/OpenVAS/Qualys)、垃圾搜尋 (OSINT/社交媒體/程式碼倉庫/憑證透明度日誌)。
• 偽裝：IP 欺騙 (來源 IP 偽造、需路由器不做 RPF)、會話劫持 (TCP 序列號預測、中間人、Cookie 竊取/固定)、ARP/DNS 欺騙、MAC 欺騙、VLAN Hopping。

七、誘騙與主動防禦技術

• 蜜罐：低互動 (Honeyd、Cowrie 模擬服務) / 高互動 (真實系統、沙箱)；部署於 DMZ/內網/雲端，誘捕攻擊者、收集 TTP、延緩攻擊、產生高保真告警。
• 偽缺陷：故意留下看似可利用的漏洞 (舊版本服務、弱密碼、開放目錄)，實為監控陷阱。
• 欺騙網路：偽造資產、假文件、假認證、假 C2 伺服器，誘導攻擊者浪費資源並暴露意圖。

掌握上述知識體系，不僅能應付 CISSP 考試，更能在實務中建立威脅建模能力、選型評估標準與應變決策框架。記住：資安沒有銀彈，唯有分層防禦、持續可視、自動化回應與人才培養的長期投入。