内容摘要：```html 黑客拎着键盘坐在星巴克，连上公共Wi-Fi，盯着流量里飘过的每一个数据包——这画面够酷，但属于被动攻击吗？不一定。被动攻击的核心就一条：攻击者只“看”，不“改”。你系统里的数据没被篡改

```html

黑客拎着键盘坐在星巴克，下列连上公共Wi-Fi，黑客盯着流量里飘过的攻动攻每一个数据包——这画面够酷，但属于被动攻击吗？击方击不一定。被动攻击的式中核心就一条：攻击者只“看”，不“改”。为被你系统里的下列数据没被篡改，服务没被中断，黑客连个异常登录告警都不会响。攻动攻它安静得像图书馆里偷看别人笔记的击方击邻座。

拿网络嗅探来说。式中2019年某安全团队做过实验，为被在普通办公网里挂一台树莓派跑tcpdump，下列两小时抓到17个明文传输的黑客FTP密码。攻击者什么都没做，攻动攻只是把网卡调成混杂模式，像把耳朵贴在墙上听隔壁说话。数据包从A到B的路径没变，内容没变，时间没变——唯一变的是多了一个人偷听。这就是被动攻击的典型：信息泄露，但系统完整性毫发无损。

流量分析更隐蔽。你加密了所有通信，攻击者解不开内容，但他能看包的大小、发送频率、通信双方IP。二战时盟军通过统计德军无线电发报量判断部队调动，今天黑客用同样逻辑推测你什么时候在传大文件、什么时候在视频会议。有个真实案例：某公司高管被跟踪，攻击者没破解他的VPN，只是分析他手机每天凌晨2点向某IP发送固定大小数据包，推断出那是自动备份，然后针对性投放勒索软件——等等，这算被动吗？投放恶意软件当然算主动。但前期分析阶段，攻击者确实只观察不干预。

键盘记录器分两种。硬件插在USB口上的那种，只记录按键，不向系统注入任何代码，也不回传数据——你得物理取回设备。这算被动。软件键盘记录器如果只是本地写日志文件，不联网、不修改其他进程，也算被动。但一旦它开始定时发送邮件，就变成主动了。界限就在“是否改变了系统状态或数据流向”。

说个反直觉的：中间人攻击通常被归为主动，因为攻击者要拦截、可能修改数据。但如果是“中间人窃听”——只是复制一份流量转发给原目标，自己不篡改——那本质还是被动。不过现实中没人这么干，因为既然都中间人了，不改点东西对不起这位置。

被动攻击难检测。你装IDS、IPS，它们靠匹配特征或异常行为告警。可被动攻击不产生额外流量，不触发异常登录，不修改文件。你只能靠加密——把明文变成密文，让嗅探者抓到一堆乱码。或者用交换式网络替代集线器，让嗅探者只能看到广播包。再或者，定期检查网卡是否处于混杂模式。但这些手段都是预防，不是检测。一旦被动攻击成功，你根本不知道数据已经泄露了。

法律上，被动攻击的取证也麻烦。攻击者可以说“我只是连了公共Wi-Fi，抓包工具自动运行的，我没看”。除非有证据证明他存储、分析了数据，否则很难定罪。这跟主动攻击不同——你改了一个字节，日志里就有痕迹。

所以下次看到“黑客攻击”四个字，先问一句：他改东西了吗？没改，只是偷看，那就是被动攻击。它不酷，不炫技，但往往是最致命的第一步——因为等你发现时，底牌已经全在对方手里了。

```