内容摘要：ARP欺骗能在一台交换机上把整个局域网拖进黑洞，靠的就是伪造网关MAC地址。去年有个学生实验，用arpspoof把宿舍网关指向自己笔记本，三分钟里六台设备断网。网络攻防考试里这类协议漏洞是必考点，不是

ARP欺骗能在一台交换机上把整个局域网拖进黑洞，网络靠的攻防就是伪造网关MAC地址。去年有个学生实验，技术用arpspoof把宿舍网关指向自己笔记本，考试三分钟里六台设备断网。知识网络攻防考试里这类协议漏洞是网络必考点，不是攻防背概念，是技术理解攻击链的每个环节。

端口扫描分TCP全连接和SYN半连接。考试nmap默认发SYN包，知识目标回SYN-ACK就说明端口开着。网络考试常问：为什么SYN扫描更隐蔽？攻防因为没完成三次握手，目标日志里只留半截记录。技术但防火墙早就能拦这种异常包了，考试现在实战更常见的知识是分片扫描和慢速扫描。慢速扫描把发包间隔拉到几秒，专门绕入侵检测的频率阈值。

DDoS考的是分类和反射放大原理。SYN Flood塞满半连接队列，DNS反射把查询请求的源IP伪造成受害者，响应包体积能放大几十倍。Memcached反射更狠，一个请求能回放五万倍流量。2018年GitHub挨的那次1.35Tbps攻击就是Memcached反射。考试会问：为什么UDP协议容易被反射利用？无连接、源IP可伪造、响应包往往比请求大。

Web安全这块，SQL注入考盲注和时间盲注。布尔盲注靠页面返回真假的差异逐字符猜数据库名。时间盲注更绝，用sleep函数让响应延迟，根据延迟判断条件真假。防御就一条：参数化查询。宽字符注入在GBK编码下把反斜杠吃掉，让单引号逃逸，这考点每年都有人栽。

XSS分反射、存储、DOM三种。存储型最危险，留言板里塞一段script，每个访问者都中招。防御要区分HTML、JS、URL上下文分别编码。CSP策略能拦大部分，但内联脚本和eval还是漏洞重灾区。考试给一段过滤代码，让你找绕过方法，比如用img标签的onerror事件，或者javascript伪协议。

密码学部分，RSA考模运算和欧拉定理。给p、q、e算d，或者给密文算明文。哈希长度扩展攻击针对MD5和SHA1的Merkle-Damgard结构，知道原消息长度就能在哈希值后面追加数据。HTTPS的握手过程要能画出来：ClientHello、ServerHello、证书验证、密钥交换、完成。中间人攻击靠伪造证书，但浏览器会报警告，所以攻击者常配合DNS劫持和自签证书。

缓冲区溢出考栈布局。返回地址被覆盖成shellcode地址，函数返回时跳过去执行。防御有ASLR随机化栈地址，DEP让栈不可执行，Canary在返回地址前插哨兵值。绕过ASLR需要信息泄露漏洞，绕过DEP用ROP链把代码片段拼起来。考试会给一段有漏洞的C代码，让你写利用思路。

应急响应考日志分析。Linux看/var/log/auth.log找SSH爆破，看/var/log/secure找提权痕迹。Windows看安全日志的4624登录成功和4625登录失败。流量分析用Wireshark过滤http.request.method==POST，找上传webshell的包。内存取证用Volatility找进程和网络连接。

这些知识点串起来就是一条攻击链：扫描找入口，注入拿权限，提权控主机，留后门维持访问，清理日志擦痕迹。考试不会只考单点，常给一个场景让你判断攻击到了哪一步，该用什么工具取证。平时多搭靶场练，比背十遍书管用。