“水坑攻击”，黑客攻击方式之一，顾名思义，是在受害者必经之路设置了一个“水坑（陷阱）”。最常见的做法是，黑客分析攻击目标的上网活动规律，寻找攻击目标经常访问的网站的弱点，先将此网站“攻破”并植入攻击代码，一旦攻击目标访问该网站就会“中招”。

　　了解什么是称为水坑攻击的供应链攻击、它们的工作原理以及此类攻击的真实示例。

　　水坑攻击通过识别目标组织甚至整个部门（例如国防、政府或医疗保健）中的用户经常访问的网站来发挥作用。然后，该网站被攻陷以传播恶意软件。

　　攻击者识别主要目标网络安全中的弱点，然后操纵水坑站点来传播利用这些弱点的恶意软件。

　　恶意软件可能会在目标不知情的情况下传送和安装（称为“驱动器”攻击），鉴于目标可能对水坑站点具有信任，也可以是用户有意下载的文件意识到它真正包含什么。通常，恶意软件将是远程访问木马 （RAT），使攻击者能够远程访问目标系统。

　　攻击者越来越多地利用“水坑”站点对各个行业的大量目标进行间谍攻击。VOHO 活动就是一个很好的例子。

　　水坑攻击属于APT攻击的一种，与钓鱼攻击相比，黑客无需耗费精力制作钓鱼网站，而是利用合法网站的弱点，隐蔽性比较强。在人们安全意识不断加强的今天，黑客处心积虑地制作钓鱼网站却被有心人轻易识破，而水坑攻击则利用了被攻击者对网站的信任。水坑攻击利用网站的弱点在其中植入攻击代码，攻击代码利用浏览器的缺陷，被攻击者访问网站时终端会被植入恶意程序或者直接被盗取个人重要信息。

　　水坑攻击相对于通过社会工程方式引诱目标用户访问恶意网站更具欺骗性，效率也更高。水坑方法主要被用于有针对性的攻击，而Adobe Reader、Java运行时环境（JRE）、Flash和IE中的零漏洞被用于安装恶意软件。

　　安全示例：

　　2017 ExPetr攻击

　　2017年6月，相信发源于乌克兰的NotPetya（也称为ExPetr）恶意软件泄露了乌克兰政府网站。该攻击媒介是从网站上下载的用户。恶意软件擦除受害者硬盘的内容。

　　2017 Ccleaner攻击

　　从2017年8月到9月，由供应商的下载服务器分发的Ccleaner的安装二进制文件包含恶意软件。Ccleaner是一种流行的工具，用于清除Windows计算机上可能存在的不需要的文件，这些文件被安全用户广泛使用。分发的安装程序二进制文件是用开发人员的证书签名的，因此攻击者可能会破坏开发或构建环境，并用它来插入恶意软件。