中间人攻击是什么

你连上咖啡馆的Wi-Fi，打开浏览器输入一个网址，人攻页面正常跳转。中间你没觉得哪里不对。人攻但就在你敲下回车的中间那几毫秒里，有一个“人”已经把你和网站之间的人攻所有对话都看了一遍——包括你刚输入的账号和密码。这就是中间中间人攻击。它不砸门、人攻不撬锁，中间它只是人攻站在你和你要找的人中间，假装自己是中间对方，然后把你俩的人攻话全听走了。

要理解这件事，中间得先明白一个事实：网络上两台设备通信，人攻数据包并不是中间从A直接飞到B。它要经过一堆路由器、交换机、基站。正常情况下，这些中转设备只负责转发，不偷看内容。但攻击者可以把自己插入这条路径，让数据先经过他那里。怎么插？最常见的手法是ARP欺骗。局域网里，设备靠ARP协议问“这个IP是谁”，攻击者就抢着回答“是我”，于是你的流量就拐到他那儿去了。整个过程你完全无感，网速都没变慢。

我去年在一家创业公司做安全测试，同事用一台树莓派跑了个伪造热点，名字叫“Starbucks_Free”。不到二十分钟，有七台手机自动连了上来。其中三台在后台同步了邮箱，两台打开了公司OA系统。我们没破解任何加密，只是把流量原样转发，同时抓了包。那些HTTPS连接确实加密了内容，但域名、时间、数据量这些元信息全暴露了。更麻烦的是，有些App对证书校验不严，我们塞了个自签名证书，它照单全收。那一刻我意识到，中间人攻击的门槛比大多数人想象的低得多。

公共Wi-Fi是重灾区，但远不止于此。DNS劫持也算一种变体——你输入bank.com，攻击者返回一个假IP，你看到的页面和真的一模一样。还有SSL剥离，把HTTPS降级成HTTP，浏览器地址栏的小锁没了，但很多人根本不看。企业内网里，有些“合法”的中间人设备是IT部门自己装的，用于审计和过滤，员工知情或不知情，数据照样被解密。这算不算攻击？技术上一样，只是目的不同。

防御手段有，但没一个省心的。HSTS能强制HTTPS，可第一次访问还是可能被劫持。证书固定（Certificate Pinning）能防伪造证书，但很多App懒得做。最实在的办法是：别连陌生Wi-Fi，连了也别登录敏感账户；浏览器地址栏的小锁要养成看的习惯；公司网络里如果发现证书颁发者不对，立刻断网。技术之外，还有一点：中间人攻击之所以有效，是因为我们默认“网络是可信的”。这个默认，本身就是最大的漏洞。

下次你在机场连上免费Wi-Fi，弹出一个“同意条款”的页面，输入手机号收验证码——停一秒。那个页面可能不是机场的，是某个人架在你和机场之间的。你收到的验证码，他也收到了。