攻击者可以通过网络嗅探网络钓鱼

去年秋天，攻击一家中型企业的通过财务总监收到一封邮件，发件人显示为“公司CEO”。网络网络邮件内容很简短：需要紧急支付一笔供应商款项，嗅探附上了银行账号。钓鱼财务总监没多想，攻击转了47万。通过事后发现，网络网络那个邮箱地址比真实地址多了一个字母。嗅探钱已经流向海外账户，钓鱼追不回来。攻击

这封邮件不是通过凭空冒出来的。攻击者在此之前，网络网络已经在这家公司的嗅探网络里“住”了将近三周。他们没用什么高深的钓鱼零日漏洞，只是利用了一个未及时修补的VPN设备漏洞，进了内网。然后，他们做了一件几乎不需要技术含量的事——打开Wireshark，开始嗅探。

嗅探到底在嗅什么

网络嗅探的本质是抓包。在共享式以太网时代，同一网段内所有设备都能收到彼此的数据帧，网卡默认只接收发给自己的帧，但改成混杂模式后，所有流量照单全收。现代交换式网络虽然隔离了端口，但攻击者一旦拿下内网某台机器，就可以通过ARP欺骗、MAC泛洪等手段，把流量“引”到自己这里。

抓到的包里有什么？如果企业还在用HTTP、FTP、Telnet这类明文协议，那用户名密码直接就是明文。更常见的是，攻击者从邮件协议里捞信息。SMTP和POP3在很多企业内网里依然没有强制TLS，一封封内部邮件在网络上裸奔。攻击者不需要破解加密，只需要等。

有个细节值得玩味：很多企业用LDAP做域认证，而LDAP的简单绑定操作在未加密情况下，凭据以明文传输。攻击者嗅探到一次LDAP绑定，就等于拿到了一把域账号的钥匙。

拿到账号密码只是第一步。攻击者真正想要的是“可信身份”。他们用嗅探到的凭据登录邮件系统，翻看往来邮件，了解公司的组织架构、汇报关系、财务流程、供应商名单。这些信息让钓鱼邮件变得极其逼真。

前文提到的那家企业的财务总监，事后复盘时发现，攻击者发来的邮件里引用了真实项目编号和供应商名称，甚至模仿了CEO惯用的措辞风格。这些素材全部来自被嗅探的内部邮件。

更隐蔽的一种玩法是“内部钓鱼”。攻击者用嗅探到的某个员工账号，给同事发邮件，附上一个看起来是内部系统链接的URL。同事看到是熟人发来的，警惕性直接降为零。链接指向一个伪造的登录页，输入凭据后，攻击者又拿到一个新的账号。循环往复，像滚雪球。

企业通常把注意力放在边界防护上——防火墙、入侵检测、终端杀毒。但嗅探发生在内网，流量根本不经过边界设备。ARP欺骗在交换机上不会触发任何告警，除非专门部署了动态ARP检测。很多企业的内网监控几乎为零。

另一个现实是，加密协议普及了，但没完全普及。TLS在外部服务上已经是标配，可内网服务之间的通信，大量还是明文。数据库连接、消息队列、内部API调用，很多运维人员觉得“内网可信”，就不加加密。这个假设在攻击者进入内网的那一刻就崩塌了。

我个人观察到一个现象：安全团队在评估风险时，习惯性地把“内网”划为低风险区域。渗透测试报告里，内网嗅探往往只给一个中危。但真实攻击链里，嗅探是承上启下的关键环节。没有它，钓鱼邮件就是广撒网；有了它，钓鱼变成了精准狙击。

网络分段是基础。把财务、人事、研发这些敏感部门划到独立VLAN，限制跨段流量。交换机端口安全开启，限制每个端口允许的MAC地址数量，防止MAC泛洪。动态ARP检测在支持的三层交换机上打开，能拦住大部分ARP欺骗。

加密方面，内网服务该上TLS就上。LDAP用LDAPS，邮件强制STARTTLS，数据库连接启用SSL。这些配置不复杂，但需要有人推动。很多运维团队不是不会，是没意识到必要性。

检测层面，可以在核心交换机上做流量镜像，跑一些轻量级的异常检测。比如同一账号短时间内从不同IP登录邮件系统，或者内网出现大量ARP请求，这些都是嗅探的前兆信号。

最根本的，还是别把内网当保险箱。攻击者一旦进来，内网就是他的猎场。钓鱼邮件只是他众多武器中的一件，而嗅探，是他装填弹药的方式。