0.22 Web 安全基本常识：先保护好自己
第〇篇【零基础预科】免费。网络块最后一篇，不讲攻击，先讲每个网民都该会的自我保护——这也是安全从业者给家人朋友最常说的内容。
一、最常见的五类风险
- 钓鱼网站 / 钓鱼链接：伪装成银行、快递、公司登录页，骗你输入账号密码或付款；
- 恶意下载：伪装成软件、文档、破解工具，运行即中毒；
- 账号被盗：弱密码、密码复用、被钓鱼；
- 信息泄露：随手公开过多个人信息，或被数据泄露波及；
- 公共网络窃听：在不可信 Wi-Fi 上传输敏感信息。
这五类风险听着抽象，但每天都在发生。你手机收到一条短信"您的快递滞留，点链接填写信息"，这就是典型的钓鱼——它不弹窗、不恐吓，就是利用你着急收快递的心理。你在群里看到"破解版 PS、内部版网盘"，下载下来运行，桌面壁纸突然变黑，这就是恶意下载。它们之所以屡试不爽，不是因为技术多高明，而是利用了人的疏忽和贪心。
你可能会问：我从不点陌生链接、从不下破解软件，是不是就安全了？ 还不够。剩下的风险藏在你"习以为常"的动作里：在咖啡馆连了个没密码的 Wi-Fi、用一个密码注册了十几个网站、收到"领导"微信让你转个账你就转了。安全不是一招制敌，而是把这些小习惯一个个改过来——后面几节就讲具体怎么做。
二、认准网址与 HTTPS
- 核对域名完整拼写：仿冒站常是
gyscc.top、gysec-login.top、0代替o等； - 有效 HTTPS：地址栏有锁、证书与域名匹配；但注意有锁只代表传输加密，不代表对方一定是好人（钓鱼站也能申请证书）；
- 短链、来路不明的跳转，先看清最终落地域名。
把"核对域名"这件事说具体：真正的银行官网域名是 icbc.com.cn，仿冒站可能写成 icbc-login.com、icbc.com.cn.xyz——多一个后缀、换一个词，肉眼一扫根本分不出来。尤其是把 0 换成字母 o、把 l 换成 1，在小字体下几乎一模一样。所以看到"您的账户异常，请立即登录"这种紧迫话术时，别顺着它给的链接点，而是自己手动在地址栏输入官方域名，或打开官方 App 查。
有个新手容易踩的坑：看到地址栏那把小锁就放松了。锁的意思是"你和这个服务器之间的传输是加密的"，但它不验证"这个服务器是不是你以为的那家银行"。现在申请 HTTPS 证书几乎免费，钓鱼站也能秒秒钟拿到一把锁。所以锁只能证明"传输没被半路偷看"，不能证明"对方没骗你"。
三、账号与密码安全
- 强密码：足够长、含多种字符，不用生日/123456；
- 不重复使用：不同网站不同密码，推荐用密码管理器统一保管；
- 双重验证（2FA/MFA）：邮箱、支付、重要账号尽量开启；
- 警惕"客服""领导""熟人"通过聊天让你转账、发验证码——先通过另一渠道核实；
- 验证码、短信口令绝不告诉任何人。
"撞库"这个词值得单独说清楚。假设你在某小网站注册时用了 zhangsan/123456，这个小网站后来被脱库（数据库泄露），攻击者拿到了一大批账号密码。他们不会只盯着这个小网站——而是拿这套 账号:密码 去批量试你的邮箱、淘宝、网银、微信。只要你在别的地方也用了同样的密码，他就能登进去。这就是为什么"不同网站不同密码"不是强迫症，而是刚需。
你可能会问：密码那么多，记不住怎么办？ 用密码管理器。它把所有密码加密存起来，你只需要记住一个主密码。需要时自动填充，每个网站可以设成完全不同的强密码，再也不用为了好记而偷懒。这比把密码写在便签、存在手机备忘录里安全得多。
四、设备与使用习惯
- 及时更新操作系统、浏览器、软件（补丁就是在堵已知漏洞）；
- 不关闭系统更新和杀毒；只从官网/商店下载；
- 公共电脑登录后务必退出，个人设备离开时锁屏（Win+L）；
- 公共 Wi-Fi 避免敏感操作，确认 HTTPS，必要时用可信 VPN；
- 重要数据定期备份。
把"及时更新"这件事说透：系统和软件更新里，很大一部分就是在修已经被公开、甚至已经被在野利用的漏洞。你不更新，等于把门上已经被人知道怎么开的锁一直开着。很多勒索软件、挖矿木马，传播靠的根本不是什么高级 0day，而是你系统里一个早就被官方补丁修了、但你一直没装的老漏洞。
你可能会问：更新会不会把我电脑搞慢、搞出兼容性问题？ 现在主流系统的自动更新已经相当成熟，偶发兼容性问题远小于"不更新被黑"的风险。真要担心，可以把更新设在深夜自动装，第二天开机就是打好补丁的状态。比起花几万块赎金解锁文件，花十分钟装个补丁实在太便宜了。
五、和"学攻击"是什么关系
你接下来会学漏洞、注入、GetShell——理解攻击是为了更好地防御和获得授权地测试。
- 知道钓鱼怎么搭，你才更容易识破；
- 知道漏洞怎么触发，你才会重视补丁、配置和最小权限；
- 但所有技术只能用于授权测试、自己的靶场和学习研究，对未授权目标使用是违法行为。这是本系列从头到尾的红线。
六、本篇小结
- 五大风险：钓鱼、恶意下载、盗号、信息泄露、公共网络窃听。
- 核对域名、认准 HTTPS（但有锁≠是好人），短链看落地。
- 强密码 + 不复用 + 密码管理器 + 双重验证；及时更新、勤备份、公用电脑退出。
- 学攻击是为了防御，仅限授权与学习，严守法律红线。
网络块结束。下一篇 0.23 进入编程世界：程序到底是怎么写出来的。