轉(zhuǎn)載自?漫畫：什么是中間人攻擊

故事發(fā)生在上世紀(jì)40年代......

在解放戰(zhàn)爭初期，東北牡丹江一帶，奶頭山有一個土匪副官叫欒平。他計(jì)劃將包含重要信息的先遣圖，獻(xiàn)給威虎山的土匪頭子座山雕。

而后欒平被共軍抓獲，偵查員楊子榮利用審訊欒平獲得的情報(bào)以及先遣團(tuán)，巧妙混入威虎山。

結(jié)局不用多說，欒平和座山雕自然都倒了大霉。

雖然那個時候沒有互聯(lián)網(wǎng)，但楊子榮采取的謀略卻相當(dāng)于現(xiàn)在威脅網(wǎng)絡(luò)安全的中間人攻擊（MITMA，man in the middle attack）。

中間人攻擊是一種間接的入侵攻擊，這種攻擊模式是將一臺計(jì)算機(jī)虛擬放置在網(wǎng)絡(luò)連接中的兩臺通信計(jì)算機(jī)之間，這臺計(jì)算機(jī)就稱為“中間人”。

黑客利用這臺“中間人”計(jì)算機(jī)模擬相互通信的一端或者兩端，使“中間人”能夠與原通信計(jì)算機(jī)建立活動連接并允許其讀取或修改通信兩端所傳遞的信息。

在故事里，欒平與座山雕就好比網(wǎng)絡(luò)通信端A和通信端B；楊子榮好比是攻擊者C；幾人傳遞的先遣圖和聯(lián)絡(luò)暗號，則好比是網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)信息。大多數(shù)情況下，中間人攻擊是發(fā)生在局域網(wǎng)中。

1.DNS欺騙：

對于DNS服務(wù)器，相信小伙伴們都很熟悉了。在互聯(lián)網(wǎng)的世界里，DNS（Domain Name System，域名系統(tǒng)）用于把訪問域名解析成IP地址，使得用戶發(fā)出的網(wǎng)絡(luò)請求可以尋找到正確的目標(biāo)服務(wù)器。

攻擊者往往可以通過入侵DNS服務(wù)器，或是篡改用戶本地hosts文件，從而截獲到用戶發(fā)出的請求。截獲請求以后，根據(jù)不同目的，攻擊者既可以讓用戶“誤入歧途”，引導(dǎo)用戶訪問一個假網(wǎng)站，也可以把用戶請求依舊轉(zhuǎn)發(fā)給目標(biāo)服務(wù)器，僅僅實(shí)現(xiàn)監(jiān)聽的目的。

欺騙的流程如下圖所示：

需要注意的是，這里為了便于描述，大大簡化了DNS解析的過程。實(shí)際場景涉及到DNS的遞歸查詢、root DNS、A記錄解析、CName解析等概念，以后有可能專門寫文介紹相關(guān)知識。

2.APR欺騙：

如果說DNS欺騙是在廣域網(wǎng)中的攔截用戶請求，那么APR欺騙就是在局域網(wǎng)中的攔截用戶請求。ARP（Address Resolution Protocol）地址解析協(xié)議，是一種將IP地址轉(zhuǎn)化成物理地址的協(xié)議。

在局域網(wǎng)中，主機(jī)A想要跟主機(jī)B（假設(shè)IP是123）通信，不僅需要知道對方的IP，也要需要知道對方的MAC地址。如果主機(jī)A的本地ARP緩存表沒有主機(jī)B的地址緩存，主機(jī)A就會在向局域網(wǎng)內(nèi)的所有主機(jī)發(fā)起廣播，請求IP為123的主機(jī)。

主機(jī)B收到廣播，檢查自己的IP地址與主機(jī)A請求中的IP地址一致，就會把自己的MAC地址返回給主機(jī)A。主機(jī)A接收到反饋以后，會把主機(jī)B的MAC地址存入本地ARP緩存表，以便下次直接使用。

如何實(shí)現(xiàn)APR欺騙呢？攻擊者利用了APR協(xié)議的漏洞，通過局域網(wǎng)內(nèi)部的一臺主機(jī)（IP并不是123），冒充主機(jī)B，向主機(jī)A發(fā)送自己的MAC地址。主機(jī)A接到消息以后，無法識別消息是真的來自主機(jī)B，還是來自一個冒名頂替者，只能照樣把接受到的新MAC地址存入ARP緩存表，取代原先的記錄。

下一次，當(dāng)主機(jī)A想要向主機(jī)B發(fā)送請求的時候，會先查詢自己的ARP緩存表，查出主機(jī)B的MAC地址是def（本來應(yīng)該是abc），結(jié)果把請求發(fā)給了主機(jī)D。從而讓攻擊者攔截到了請求信息。

3.代理服務(wù)器：

這個概念就很簡單了。所謂代理服務(wù)器，就是用戶主機(jī)在訪問網(wǎng)站時所使用的各種代理，比如wifi，比如VPN，比如翻墻工具。這些代理未必都是可靠的，有些可能會遭到黑客攻擊，有些可能自身就有問題。當(dāng)用戶通過這些代理發(fā)送請求的時候，請求信息自然而然就會被劫持。

1.使用DNSSEC機(jī)制

Domain Name System Security Extensions (DNSSEC)DNS安全擴(kuò)展，是一系列DNS安全認(rèn)證的機(jī)制，可以驗(yàn)證用戶訪問的站點(diǎn)地址是否有效，解決DNS欺騙的問題。

2.使用防火墻和殺毒軟件

在局域網(wǎng)內(nèi)，發(fā)起ARP欺騙的主機(jī)往往是中了病毒的機(jī)器，從而被黑客控制，因此需要定期查殺病毒。而防火墻可以有效地阻擋疑似APR欺騙的消息。

3.使用HTTPS協(xié)議

HTTPS協(xié)議在HTTP協(xié)議的基礎(chǔ)上增加了SSL層，SSL依靠證書來驗(yàn)證服務(wù)器的身份，并為瀏覽器和服務(wù)器之間的通信加密。這樣一來，即使攻擊者截獲了用戶發(fā)出的請求信息，也無法解密信息，更無法篡改信息。

創(chuàng)作挑戰(zhàn)賽新人創(chuàng)作獎勵來咯，堅(jiān)持創(chuàng)作打卡瓜分現(xiàn)金大獎

總結(jié)

以上是生活随笔為你收集整理的漫画：什么是中间人攻击的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。