水坑攻击

水坑攻击（英文 Watering Hole Attack）是一种有针对性的网络攻击手法：攻击者不直接进攻目标本身，而是先攻陷目标人群经常访问的网站，在上面埋设恶意代码，静候目标「自己送上门」。

概述

这个名字来自自然界的捕猎场景：猛兽不必满草原追逐猎物，只需埋伏在水坑边，等口渴的动物前来饮水。水坑攻击的思路完全一致——攻击者先通过观察或猜测，摸清某个团体（如某家公司、某个行业、某个地区的用户）常去哪些网站，然后设法入侵其中一个或多个网站，植入恶意软件或挂马代码。

当目标群体中的成员照常访问这些「被下毒的水坑」时，浏览器或系统中的漏洞就可能被利用，设备随之被感染，攻击者进而窃取数据、植入后门或横向渗透进目标所在的内部网络。由于被入侵的往往是目标平时信任的正规网站，受害者几乎不会起疑，这类攻击也因此常被用于针对企业、政府机构等的定向渗透活动。

主要特点

• 目标明确：针对的是特定组织、行业或地区的人群，而不是无差别撒网。
• 借道第三方：不直接攻击目标，而是先攻陷目标信任的网站，属于典型的「曲线进攻」。
• 隐蔽性强：受害者访问的是自己常去的正常网站，防备心低，恶意代码也常只对特定 IP 段或地区的访客触发。
• 常配合漏洞利用：多借助浏览器、插件或系统漏洞实现「访问即感染」，无需用户主动下载。
• 防御难度高：传统的「不点陌生链接」经验对它基本失效，因为问题出在可信网站本身。

与钓鱼攻击的区别

钓鱼攻击是主动出击——伪造邮件或假网站，诱骗目标点击；水坑攻击则是守株待兔——把真网站变成陷阱，等目标自己来访。两者常被组合使用，但水坑攻击对「目标会去哪」的情报要求更高，通常出现在更有组织的定向攻击中。

常见问题

问：普通网民会遇到水坑攻击吗？答：可能性相对较低。水坑攻击主要针对有价值的特定群体（如企业员工、行业从业者），但普通用户若常访问被攻陷的网站，也可能被波及。

问：访问大网站就安全吗？答：不绝对。任何网站都可能被入侵，包括知名网站及其引用的第三方脚本、广告等，这正是水坑攻击难防的原因。

问：如何防范水坑攻击？答：及时更新浏览器和操作系统补丁、禁用不必要的插件、使用安全软件；企业侧则应部署流量监测、限制终端权限，并对异常外联行为保持警惕。