从零开始学习网络安全中间人攻击

内网 MITM 中间人攻击完整实操ARP 毒化 DNS 劫持钓鱼全过程前言在内网渗透、等保测评、安全实训中中间人MITM攻击是最经典、最容易复现的基础攻击手段。利用 ARP 协议无身份校验、DNS 解析可篡改两大底层漏洞攻击者能悄无声息劫持内网全部流量搭建钓鱼页面窃取账号密码。本文结合虚拟机实验环境完整拆解攻击原理、Kali Ettercap 实操流程、攻击危害与企业防御方案。温馨提示本文仅用于安全学习、授权实验环境演练严禁在未授权内网、公网实施任何攻击行为违规操作承担法律责任。一、中间人攻击核心底层原理1. ARP 欺骗ARP 毒化底层逻辑ARP 协议作用IP 地址 ↔ MAC 物理地址映射局域网通信依靠 MAC 转发数据包。 协议致命缺陷无身份认证机制主机收到 ARP 应答包直接更新本地 ARP 缓存不会校验报文发送方真实性。 攻击者持续发送伪造 ARP 广播包对靶机伪造网关 MAC 攻击者 MAC对网关 / 服务器伪造靶机 MAC 攻击者 MAC 双向毒化完成后靶机与服务器所有网络流量都会先流经攻击者主机实现流量监听、篡改。2. DNS 劫持DNS 欺骗联动攻击逻辑单纯 ARP 劫持只能抓流量结合dns_spoof插件可篡改域名解析应答 用户访问合法域名如test.com时DNS 查询包被拦截攻击者返回伪造 A 记录将域名解析到 Kali 钓鱼网站 IP用户浏览器自动跳转仿冒登录页面输入账号密码全部留存。3 整套攻击链路总结攻击者 ARP 双向毒化劫持流量 → 拦截 DNS 请求 → 返回伪造解析记录 → 受害者跳转钓鱼站点 → 窃取登录凭据。二、实验环境搭建环境拓扑三台虚拟机同一桥接 / NAT 网段Attacker-PCKali Linux攻击机EttercapApache 钓鱼DC-ServerWindows Server 2025 域控、IIS 内网站点Client-PCWin7 域内客户机受害靶机 网段示例192.168.52.0/24前置准备Kali 关闭防火墙放行 80 端口 Apache 服务搭建仿冒登录钓鱼页面靶机、攻击机互通无拦截策略。三、分步实操Ettercap 实现 ARPDNS 劫持步骤 1搭建 Apache 钓鱼网站Kali启动 Web 服务bash运行systemctl start apache2 systemctl enable apache2 netstat -anptl | grep 80 # 验证80端口监听修改站点首页/var/www/html/index.html编写带账号密码输入的仿后台登录页面后端脚本接收并保存输入的账号密码到日志文件浏览器访问 Kali 本机 IP确认钓鱼页面正常加载。步骤 2配置 Ettercap DNS 欺骗规则进入 Ettercap 配置目录编辑劫持规则文件bash运行cd /etc/ettercap vim etter.dns在文件末尾添加劫持规则plaintexttest.com A 192.168.~~~ # 替换为你的Kali本机IP *.test.com A 192.168.~~~含义所有访问test.com及其子域名的解析请求全部指向攻击机 IP保存退出 vim按ESC输入:wq步骤 3图形化 Ettercap 实施中间人攻击启动图形界面bash运行ettercap -G选择网卡 eth0点击对勾进入主界面扫描全网存活主机Hosts → Scan for hosts扫描完成打开主机列表设置双向欺骗靶机Target1DC-Server域名服务器 / 网关IPTarget2Client-PC 受害主机 IP开启 ARP 毒化攻击顶部MITM → ARP Poisoning默认双向毒化确认启动加载 DNS 欺骗插件Plugins → Manage plugins双击dns_spoof启用插件旁出现 * 代表激活成功。步骤 4靶机验证劫持效果Win7 CMD 刷新 DNS 缓存清除旧解析记录cmdipconfig /flushdnsping test.com返回 IP 为 Kali 攻击机地址证明 DNS 解析被篡改浏览器访问http://test.com页面跳转 Kali 搭建的钓鱼登录站在钓鱼页面输入账号密码Kali 后台日志可抓取完整凭据。四、中间人攻击真实危害凭据窃取内网 OA、后台、邮箱、域账号密码明文捕获页面篡改正常网页植入木马、广告、恶意下载链接会话劫持窃取 Cookie无需密码直接登录用户账号业务中断单向 ARP 欺骗可制造断网故障横向渗透劫持流量获取内网服务地址进一步攻击服务器。五、企业内网防御方案运维 / 等保必看1. 二层交换机防护核心防御开启DAI 动态 ARP 检测校验 ARP 报文合法性拦截伪造 ARP 包部署 DHCP Snooping绑定 IP-MAC 静态映射杜绝 ARP 缓存篡改。2. 终端 服务器加固关键服务器、网关配置静态 ARP 绑定拒绝动态更新缓存终端安装 EDR 安全软件监控异常 ARP 广播优先使用 HTTPS 全站加密HTTPS 流量无法简单劫持无证书无法解密。3. DNS 安全加固内网部署 DNSSEC解析记录带数字签名中间人无法篡改应答禁用不必要域名转发使用加密 DNS DoH/DoT定期监控异常域名解析、批量跳转行为。4. 网络准入管控企业内网部署 NAC 准入控制非法设备接入直接隔离从源头杜绝攻击者主机接入局域网。六、实验总结ARP 无认证是中间人攻击底层根源DNS 配置不当放大劫持危害Ettercap 一站式完成扫描、ARP 毒化、DNS 劫持是内网渗透入门核心工具HTTP 网站极易被劫持HTTPS 能大幅提升攻击门槛防御核心交换机安全特性 静态 ARP 加密传输 网络准入多层防护。拓展思考题学习自测只做单向 ARP 欺骗会出现什么效果双向欺骗的作用是什么为什么 HTTPS 网站无法通过本实验手段窃取账号发现内网存在 ARP 欺骗攻击第一时间排查哪些设备博客尾部合规声明本文仅用于网络安全学习、授权实验室安全演练任何未经授权对企业、公共网络实施中间人劫持、流量窃听、钓鱼攻击均违反《网络安全法》《刑法》相关规定请勿用于非法场景。