信息系统如果有漏洞容易遭到什么攻击

2021年，信息系统美国科洛尼尔管道公司被黑客用一组泄露的漏洞VPN密码撬开了内网。一条输油管道没炸，容易但东海岸45%的什攻燃油供应直接断了。攻击者没用什么零日漏洞，信息系统就是漏洞一个没改的默认口令，配上一台没做二次验证的容易远程登录接口。

漏洞被利用的什攻方式，往往比漏洞本身更值得琢磨。信息系统系统里留了一个SQL注入点，漏洞攻击者不会只是容易进去看看——他会先摸清数据库版本，再判断能不能提权到操作系统层。什攻能提权，信息系统就装远控；不能提权，漏洞就先把数据拖走。容易去年某省级医院的信息系统被拖库，事后溯源发现入口是一个三年前就废弃的预约挂号接口，没人下线，也没人打补丁。

拿到系统权限之后，攻击者的选择就多了。加密勒索是最粗暴的一种。某地级市政务云被LockBit攻破，三百多台虚拟机同时被加密，备份服务器因为用了同一套域控密码，一并沦陷。恢复数据花了六天，期间所有线上审批业务停摆。这种攻击不追求隐蔽，反而故意留下勒索信，就是要让受害者知道“你被打了”。

更隐蔽的是长期潜伏。有安全团队在金融公司内网发现过一个后门，攻击者通过一个未修复的Struts2漏洞进来，之后六个月只做了一件事：每天凌晨三点从数据库导出少量客户信息。流量很小，加密传输，混在正常业务请求里。直到一次常规渗透测试才被发现。这种攻击的目的不是破坏，是持续窃取。

还有一种攻击不碰数据，只改逻辑。某电商平台的优惠券系统有一个条件竞争漏洞，攻击者用脚本在极短时间内并发提交同一张券的核销请求，系统没做原子性校验，一张券被用了四百多次。损失金额不大，但暴露的问题很典型：业务逻辑漏洞比技术漏洞更难防，因为它没有固定的特征库。

供应链攻击是另一个维度。某车企的OTA升级服务器被入侵，攻击者没直接攻击车辆，而是在升级包里植入了一个诊断指令。车辆开到特定GPS坐标时，该指令会触发电池管理系统的异常放电。这个漏洞在代码审计时被发现了，但如果没发现，后果不是数据泄露那么简单。

漏洞被利用的路径通常是这样：先找一个暴露面——可能是没关的调试端口，可能是没删的测试账号，也可能是第三方组件的一个已知CVE。然后横向移动，找域控、找数据库、找备份。最后根据攻击目的决定是加密、窃取还是破坏。每一步都不需要多高深的技术，关键是系统里有没有人把该关的关掉、该补的补上。

我见过一个案例，攻击者通过一个弱口令进了OA系统，然后在共享目录里翻到一个Excel文件，里面写着核心数据库的账号密码。这个文件是两年前运维人员为了方便留下的。漏洞不只在代码里，也在人的习惯里。