凌晨三点，网络一家中型企业的攻击安全运维人员被手机震醒。告警平台显示，本过内网一台数据库服务器正在向外传输数据，网络流量异常。攻击他打开终端，本过敲了几条命令，网络发现这台服务器已经被控制了三小时——而入侵者留下的攻击痕迹，仅仅是本过一个被精心构造的钓鱼邮件附件。

这就是网络网络攻击的真实起点。绝大多数攻击并非像电影里那样，攻击黑客对着屏幕敲几行代码就攻破系统。本过真正的网络攻击过程，更像一场有预谋的攻击入室盗窃——先踩点，再找门，本过然后撬锁，最后搬东西。

攻击者的第一步是侦察。他们搜集目标企业的员工邮箱、域名信息、技术栈，甚至从招聘网站上的职位描述推断内部使用的软件版本。一个真实案例：某金融机构的IT部门在招聘信息里写明“要求熟悉Oracle 11g”，攻击者据此锁定了数据库版本，直接搜索该版本的已知漏洞。这种公开信息的情报收集，成本几乎为零，却往往决定了整个攻击的成败。

接下来是武器化与投递。攻击者把恶意代码打包成看似无害的载体——一份PDF简历、一张图片、一个链接。最常见的载体是钓鱼邮件，但高明的攻击不会群发，而是精准投递给有权限的人。有个我接触过的案例，攻击者冒充公司CEO，给财务总监发邮件索要供应商付款清单，附件里藏着宏病毒。财务总监犹豫了一下，还是点了——因为邮件落款处的签名和语气，和CEO平时一模一样。

一旦受害者点击，攻击就进入了利用阶段。恶意代码利用系统或软件的漏洞执行指令，或者干脆骗过用户手动运行。这一步的核心是获取一个立足点。很多攻击者并不追求一击必杀，而是先植入一个轻量级的后门，比如一个计划任务，定时回连攻击者的服务器。

立足之后，攻击者开始横向移动。他们像盗贼在房间里蹑手蹑脚地翻找，先窃取合法账户的凭据，再尝试登录其他机器。Windows域环境里，攻击者常用的手段是抓取内存中的明文密码或哈希值，然后用这些凭证在局域网内批量尝试登录。这个过程可能持续数周，期间攻击者会刻意保持低流量，避免触发安全设备的阈值告警。

最后一步是达成目标——数据窃取、勒索加密或系统破坏。窃取数据时，攻击者会把收集到的资料压缩打包，通过加密通道传出去。有趣的是，他们往往选择在周五晚上或节假日动手，因为此时运维响应最慢。等周一大家上班时，数据早已躺在某个境外服务器上。

整个过程中，攻击者最怕的并不是杀毒软件，而是人的警觉。那个财务总监如果多看一眼发件人的完整地址，如果运维人员对周末的异常流量多一分敏感，攻击链条就会在中途断裂。技术手段固然重要，但攻击的每一个环节都依赖人的失误——这才是网络攻击真正的软肋所在。