1. 课程导入

一、什么是撞库攻击

撞库（Credential Stuffing）是一种利用已泄露的用户名与密码组合，通过自动化工具批量尝试登录其他在线服务的攻击方式。它的核心假设是：用户在多个网站重复使用同一套账号密码。攻击者并不需要破解加密算法，也不需要逐个猜测密码，而是直接“搬运”从某次数据泄露事件中获得的凭证，去撞击其他平台的登录接口。

与暴力破解不同，撞库不依赖穷举密码空间；与密码喷洒（Password Spraying）不同，撞库使用的是真实泄露的凭证对，而非少量弱口令。撞库的本质是凭证复用与自动化登录尝试的结合。

二、撞库攻击的危害

撞库攻击的危害远不止“几个账号被盗”。它往往是一条完整攻击链的起点，可能引发以下连锁反应：

• 账号接管（Account Takeover, ATO）：攻击者登录成功后，可查看敏感信息、修改绑定邮箱或手机号，甚至直接盗取资金或虚拟资产。
• 数据二次泄露：被接管的账号可能成为跳板，进一步访问企业内部系统或窃取更多用户数据。
• 业务欺诈：在电商、金融、社交平台中，撞库成功后的账号常被用于薅羊毛、刷单、发布垃圾内容或诈骗好友。
• 品牌与合规风险：大规模账号被盗会严重损害用户信任，并可能触发《个人信息保护法》《数据安全法》等合规处罚。
• 攻击成本极低：暗网中泄露凭证的价格极低，自动化工具成熟，攻击者可以以极低成本发起大规模撞库。

三、撞库攻击的典型场景与案例

为了更直观地理解撞库，我们来看一个典型的攻击流程：

1. 攻击者从暗网购买或下载一份包含数亿条“邮箱+密码”的泄露数据库。
2. 使用自动化工具（如Sentry MBA、OpenBullet等）配置目标网站的登录请求。
3. 通过代理IP池轮换IP，规避单IP频率限制。
4. 批量提交登录请求，记录返回状态码或页面特征，判断登录是否成功。
5. 对成功登录的账号进行二次利用：修改密码、绑定新邮箱、发起交易等。

一个真实案例是某大型电商平台曾遭遇撞库攻击，攻击者利用从其他网站泄露的凭证，成功登录了约2万个用户账号，并盗取了大量优惠券和余额。事后分析发现，该平台登录接口缺乏有效的频率控制和设备指纹识别，导致攻击者可以在数小时内完成数十万次尝试。

四、学习目标与课程框架

本课程的目标是让你从“知道撞库是什么”进阶到“能够独立设计并落地撞库检测与防护方案”。具体学习目标包括：

• 理解撞库攻击的技术原理、常见工具与攻击链路。
• 掌握撞库检测的核心数据源：登录日志、设备指纹、IP情报、行为特征。
• 学会构建基于规则、统计与机器学习的检测模型。
• 能够设计实时拦截与离线分析相结合的防护体系。
• 掌握误报控制、策略调优与攻击复盘的方法。

整个课程共30章，分为五个模块：

模块	章节范围	核心内容
基础认知	第1-4章	撞库定义、攻击链路、数据泄露来源、与暴力破解的区别
检测数据与特征	第5-10章	登录日志采集、设备指纹、IP画像、行为序列特征
检测方法与模型	第11-18章	规则引擎、频率统计、聚类分析、机器学习模型、图算法
工程落地与对抗	第19-25章	实时流处理、规则热更新、代理IP对抗、验证码策略、误报治理
实战与复盘	第26-30章	完整项目实战、攻击模拟、效果评估、复盘报告撰写

五、常见误区与前置知识

在正式进入技术细节之前，先澄清几个常见误区：

• 误区一：撞库等于暴力破解。暴力破解是穷举密码，撞库是使用真实泄露凭证，两者在检测特征和防护策略上有本质区别。
• 误区二：加了验证码就能防住撞库。验证码只是增加自动化成本，攻击者可以通过打码平台、OCR识别或人工打码绕过。
• 误区三：只靠IP频率限制就够了。攻击者使用大规模代理IP池，单IP请求频率可能很低，但整体攻击量依然巨大。
• 误区四：检测模型越复杂越好。在实际工程中，可解释性、响应速度和维护成本往往比模型复杂度更重要。

前置知识方面，建议你具备以下基础：

1. 了解HTTP协议与登录接口的基本交互过程
2. 熟悉至少一种编程语言（Python/Java/Go）
3. 了解SQL与基本的数据分析概念
4. 对网络安全攻防有初步认知

如果你在某些方面有所欠缺，也不必担心。课程中会在相关章节补充必要的背景知识，并通过实战案例帮助你逐步建立完整的知识体系。

六、本章小结