数值条目
1337
参见L33tSpeak
42
数字42常在黑客社区和技术出版物中被引用，作为对作家道格拉斯·亚当斯的幽默致敬。其起源简述如下：
在道格拉斯·亚当斯的《银河系漫游指南》中，数字42是“生命、宇宙和一切终极问题的答案”，由名为“深思”的超级计算机经过750万年计算得出。但无人知晓问题是什么，因此建造了名为“地球”的有机组件行星级计算机来计算终极问题。
A
高级持续性威胁（APT）
APT缩写首次在2013年Mandiant公司（现FireEye）报告中普及，描述了具有特定目标的政府资助黑客组织的行为。这些攻击的复杂性、战略导向和破坏性特征被命名为“高级持续性威胁”。
广告软件（Adware）
免费提供但包含广告的软件。
授权蔓延（Authorization Creep）
当员工变更职位功能时保留不必要的权限，可能导致不适当的数据访问。
B
黑盒测试（Black Box Test）
在几乎不了解目标构成、内部结构或防护措施的情况下进行的测试。
蓝队（Blue Team）
红队-蓝队演习源自军事实践：红队负责攻击，蓝队负责防御，用于测试安全准备状态。
僵尸网络（Botnet）
“机器人网络”的缩写，由攻击者通过远程控制台管理的受感染计算机网络。
C
C&C / C2
参见命令与控制。
计算机欺诈与滥用法案（CFAA）
1986年国会颁布，扩大了原有计算机欺诈法律的适用范围，将恶意代码传播和拒绝服务攻击等行为定罪。
克隆钓鱼（Clone Phishing）
利用合法邮件内容和收件地址创建几乎相同的恶意邮件，替换附件或链接后发送。
命令与控制（Command and Control）
从受感染设备流向僵尸网络控制器的流量。
通用漏洞披露（CVE）
由MITRE公司维护的公开安全漏洞参考系统，为每个漏洞分配唯一标识符。
通用漏洞评分系统（CVSS）
评估漏洞严重程度的开放标准，分数0-10分，7.0-10.0为高危，4.0-6.9为中危，0-3.9为低危。
Cookie
网站发送并存储在用户浏览器中的小数据片段，用于记录用户活动。
隐蔽信道（Covert Channel）
违反安全策略在进程间传输信息的攻击方式。
跨站脚本（XSS）
在目标域安全上下文中执行攻击者准备的JavaScript代码。
水晶盒测试（Crystal Box Test）
结合灰盒测试元素，可获取文档甚至源代码的测试方法。
跨站请求伪造（CSRF/XSRF）
利用网站对用户浏览器的信任发送未授权命令的攻击方式。
D
自主访问控制（DAC）
用户完全控制其拥有的程序和文件，并决定其他用户权限的访问控制模型。
分布式拒绝服务攻击（DDoS）
使用多台机器产生流量，导致目标网络服务中断。
数字取证与事件响应（DFIR）
电子数据取证和突发事件响应的综合流程。
域名生成算法（DGA）
自动生成临时域名用于逃避执法的数学函数。
DNS放大攻击
利用伪造IP源地址的DNS请求，使所有回复涌向目标机器的DDoS攻击。
投放器（Dropper）
在目标机器上安装恶意代码的程序。
E
道德黑客（Ethical Hacking）
经授权模拟攻击以发现安全弱点的过程。
F
模糊测试（Fuzzing Test）
向程序输入无效、异常或随机数据的自动化测试技术。
G
灰盒测试（Grey Box Test）
基于有限目标信息进行的测试。
H
哈希（Hash）
将任意长度数据映射为固定长度值的函数，常用于密码验证。
心脏滴血漏洞（Heartbleed）
OpenSSL库中的严重漏洞，可窃取SSL/TLS加密保护的信息。
主机入侵检测系统（HIDS）
安装在终端上监控异常活动的软件。
狩猎团队演习（Hunt Team Exercise）
渗透测试人员搜索网络内入侵证据的方法。
I
事件响应（Incident Response）
按照PICERL（准备、识别、遏制、根除、恢复、经验总结）方法处理安全事件。
输入验证（Input Validation）
确保用户输入符合预期数据类型的验证方法。
J
JavaScript
在浏览器中执行的脚本语言，常被用于XSS和CSRF攻击。
L
横向移动（Lateral Movement）
攻击者在网络内系统间移动以接近目标。
Leet语（L33tSpeak）
使用ASCII字符替代字母的网络用语体系。
M
强制访问控制（MAC）
仅由管理员管理访问策略的控制模型。
MAC地址
网络接口的48位唯一标识符。
魔法Cookie（Magic Cookie）
程序间传递的不透明数据令牌。
恶意软件（Malware）
具有破坏性或数据窃取意图的恶意软件。
中间人攻击（MitM）
通过中间设备截获通信内容的攻击方式。
N
美国国家标准与技术研究院（NIST）
制定计算机安全标准（如800系列）的美国机构。
O
开放Web应用安全项目（OWASP）
致力于Web应用安全的在线社区。
P
哈希传递（Pass the Hash）
使用密码哈希而非明文进行认证的攻击技术。
渗透测试（Penetration Test）
通过模拟攻击评估系统安全性的结构化测试。
个人可识别信息（PII）
可用于识别个人的信息组合。
钓鱼攻击（Phishing）
伪装成可信实体骗取敏感信息的攻击。
跳板测试（Pivot Test）
通过已入侵机器访问隔离网络的攻击方法。
POODLE攻击
针对SSLv3中CBC模式密码的攻击，可解密通信内容。
端口（Port）
IP地址下的通信通道标识。
概念验证（POC）
证明漏洞可利用性的演示。
R
红队（Red Team）
负责模拟攻击的安全测试团队。
远程桌面协议（RDP）
通常使用3389端口的远程连接协议。
流氓接入点（Rogue Access Point）
模仿合法热点的恶意Wi-Fi接入点。
S
SANS研究所
专注于信息安全培训的机构，发布《关键安全控制》等标准。
安全外壳（SSH）
通过22端口建立的加密远程会话协议。
安全套接层（SSL）
建立Web服务器与浏览器加密链接的标准技术，现已被TLS取代。
服务器消息块（SMB）
通常使用139端口的网络文件共享协议。
会话劫持（Session Hijacking）
窃取认证Cookie获取未授权访问的攻击。
社会工程学（Social Engineering）
通过心理操纵获取信息的非技术攻击手段。
鱼叉式钓鱼（Spear Phishing）
针对特定个人或公司的定向钓鱼攻击。
间谍软件（Spyware）
未经用户同意收集计算机活动的软件。
SQL注入（SQL Injection）
通过Web表单输入恶意SQL命令的攻击技术。
T
传输层安全（TLS）
取代SSL的加密通信标准协议。
U
统一资源标识符（URI）
标识网络资源的字符串，常见形式为URL。
V
语音钓鱼（Vishing）
通过电话系统进行的社会工程学攻击。
漏洞评估（Vulnerability Assessment）
识别、量化和优先排序系统漏洞的过程。
W
水坑攻击（Watering Hole Attack）
通过入侵目标常访问网站进行的间接攻击。
鲸钓攻击（Whaling）
针对企业高管的定向钓鱼攻击。
X
零日漏洞（Zero-Day Vulnerability）
尚未发布补丁的安全缺陷。
零日利用（Zero-Day Exploit）
利用零日漏洞的攻击工具。