中间人（MITM）攻击：它们是什么，以及如何防范

中间人攻击通常会瞄准登录凭据、财务信息和个人数据。攻击者会利用这些数据进行诈骗、身份盗用或未授权访问。

中间人（MITM）攻击会暴露组织在保护传输中的身份和数据方面的漏洞，从而导致财务损失、凭据泄露、业务运行中断以及合规失败。

攻击者往往会将目标锁定在金融机构、医疗系统、中小企业（SMB）以及云服务等高价值对象。这些环境会处理诸如支付详情、患者记录以及业务关键数据等敏感信息。因此，了解什么是中间人攻击（MITM）以及它是如何工作的，对于降低风险并保护数据至关重要。

什么是中间人（Man-in-the-middle）攻击？

A man-in-the-middle (MITM) attack 是一种网络攻击方式，攻击者在双方不知情的情况下拦截并可能篡改用户与系统之间的通信。简单来说，攻击者会把自己“置于”两个受信任端点之间。

这些攻击会针对传输中的数据。其目标是：

• 窃取凭据和身份验证令牌，
• 获取金融或个人数据，
• 劫持活动会话，
• 向通信中注入恶意内容。

与网络钓鱼或恶意软件攻击不同，这些攻击依赖于欺骗用户或感染设备，MITM（中间人）攻击的重点在于通信层本身。攻击者无需直接访问系统。相反，他们会利用不安全的网络、弱加密或配置错误的系统。

一个常见的 中间人攻击示例 是会话劫持。当用户登录网站时，会话令牌会让其保持已认证状态。如果攻击者拦截了该令牌，就可以在无需密码的情况下冒充用户。

你也可能会看到该攻击被称为：

• Adversary-in-the-middle (AITM)
• 路径内攻击
• 中间人（Machine-in-the-middle）

这些术语都描述同一个核心概念：在两个受信任主体之间实时传输数据时进行未经授权的拦截。

MITM 攻击是如何工作的？

MITM 攻击通常遵循一个有条理的流程，使攻击者能够在数据在系统之间传输时进行拦截、获取，甚至有时操纵数据。理解这种流程有助于安全团队识别薄弱环节并降低风险暴露。

在深入细节之前，先来看看大多数中间人（man in the middle）攻击是如何展开的：

中间人（MITM）攻击的两个关键阶段

MITM攻击分为两个阶段：拦截（interception）和解密（decryption）。

• 拦截（Interception）： 这是第一个阶段，攻击者会在两个通信方之间秘密地插入自己，就像在电话线路中悄悄安装窃听装置而不被任何人察觉一样，随后再监听两个或多个参与方的对话。
• 解密（Decryption）： 一旦攻击者在拦截通信后收集到数据，下一步就是对这些数据进行解读（解密），尤其是在通信经过加密（通过HTTPS协议）的情况下。因为如果不解密，加密数据只会是难以理解的乱码。

逐步解析

典型的 网络安全中的中间人攻击 通常遵循以下关键阶段：

1. 侦察
2. 拦截
3. 解密
4. 数据捕获
5. 可选的篡改
6. 退出

侦察

在这一初始侦察阶段，攻击者会寻找容易进入的切入点。他们会扫描易受攻击的网络，例如咖啡馆、机场或酒店里的公共 Wi‑Fi。

常见目标包括：

• 使用弱口令或未设置口令的网络
• 使用默认凭据的路由器
• 未打补丁或配置不当的系统

攻击者也会使用 Wireshark 等工具来分析网络流量并绘制环境结构。这有助于他们识别已连接的设备、开放的端口、正在运行的服务以及可供利用的潜在弱点。

拦截

在取得立足点之后，攻击者会进入通信渠道，通过拦截流量来窃取数据。一种常见方法是搭建 恶意（伪造）Wi‑Fi 热点 ，它们会模仿合法网络，例如咖啡店的 Wi‑Fi。当用户连接后，他们的所有流量都会经过攻击者的设备，从而使攻击者能够监视并捕获这些数据。

攻击者也可能使用 地址解析协议（Address Resolution Protocol，ARP）欺骗。通过发送伪造的 ARP 消息，他们会将自身设备的 MAC 地址与合法系统（例如路由器）的 IP 地址进行绑定。这样就会把原本应发送给路由器的流量重定向到攻击者。

另一种技术是 DNS 欺骗，它会将用户重定向到恶意网站。当用户尝试访问合法网站时，DNS 请求会被拦截并重定向到由攻击者控制的网站，从而实现进一步的数据捕获或凭据窃取。

解密

在拦截加密流量之后，攻击者通常会寻找削弱或绕过加密的方法，以便访问可读数据。

他们常用的一些技术包括：

• SSL stripping: 这包括将安全的 HTTPS 连接降级为 HTTP。尽管用户认为自己的连接是安全的，但攻击者实际上可以以明文形式查看数据。像 SSLStrip 这样的工具可以自动化这一过程。
• 假 SSL 证书： 在这种情况下，攻击者会创建伪造或被攻破的证书，以冒充受信任的服务器。用户的浏览器会认为已建立了“安全”连接，但攻击者处于中间位置，能够解密并监控通信。

数据捕获

在成功拦截并解密之后，攻击者会进一步关注被捕获的数据，以窃取诸如凭据、信用卡号、银行账户信息、会话 cookie 以及用于身份盗用的个人信息（例如电子邮件、电话号码和地址）等有价值的信息。

攻击者会使用多种技术在数据通过其设备时进行记录，随后再使用自动化脚本在捕获的数据中扫描以查找敏感信息。

可选篡改

在某些情况下，攻击者并不一定会提取数据。借助更为精密的技术，他们可以操纵网上银行会话，并篡改交易，例如更改收款人的银行账号，将付款重定向到自己的账号。

退出

在成功实施 MITM 攻击后，攻击者会试图通过清除受害者设备或服务器上的日志来掩盖行踪。在某些情况下，他们还会尝试安装恶意软件或创建后门，以便在未来进行数据提取时，能够长期访问受损的系统或网络。

中间人攻击（Man-in-the-middle）流程图

示例场景：

银行员工 David 在公共咖啡馆连接了一个未加固的 Wi‑Fi 网络，并在不知情的情况下将自己的连接暴露给中间人攻击（Man-in-the-middle，MITM）。

他从包含“The Rock”“Café the Rock”和“The Rocks”的选项中选择了名为“The Rocks”的网络，而只有“Café the Rock”才是真正的合法网络。这个伪造网络由攻击者控制，使他们能够拦截他手机和笔记本电脑的所有流量。

当 David 登录社交媒体和银行应用时，攻击者会捕获他的活动，并使用 SSL stripping 降级安全连接。这样一来，他们就能够访问 Facebook、Gmail 以及其他服务的凭据。

MFA 会阻止他访问银行应用，但他的 Gmail 和 Facebook 账户并未受到保护。攻击者成功登录他的 Gmail 账户，禁用通知，随后再以其账户为关联发起 PPC 广告活动，最终导致一笔意外账单。

由于 David 在工作中使用相同的凭据，攻击者会将其测试到内部系统中。攻击者尝试进行身份验证并修改配置以获取持久性。安全团队会借助 Netwrix Change Tracker 收到对关键系统中未经授权的配置更改的警报，从而能够迅速核实到底更改了什么以及何时更改。同时，还会标记异常的身份验证行为和凭据的滥用，有助于识别账户是否遭到入侵，并在攻击者建立立足点之前遏制威胁。

中间人攻击示例

以下是一些最为知名的中间人攻击案例，以及它们揭示了现代安全风险的哪些方面。

这些案例表明，中间人攻击会利用现实世界中的加密、证书管理和网络安全方面的弱点——而不仅仅是理论层面的漏洞。

中间人（Man-in-the-middle，MITM）攻击的后果

中间人（Man-in-the-middle，MITM）攻击不仅仅是暴露数据。它会引发一连串的金融、运营和合规风险，影响用户与组织。下文描述了部分受影响领域以及影响的具体性质：

MITM 攻击的常见目标：谁面临风险？

风险评估：你对 MITM 攻击有多脆弱？

中间人（MITM）攻击的风险取决于你的系统在传输中的数据、网络访问以及用户行为方面的处理有多安全。并非所有环境都面临同等程度的中间人攻击风险。

实用的 MITM 风险评估 主要关注三个因素：发生可能性、影响程度以及现有的安全漏洞。

以下是 MITM 攻击的关键风险因素清单：

• 缺乏保护的网络 - 使用公共 Wi‑Fi 或保护不充分的内部网络，会使攻击者更容易拦截通信流量。
• 加密强度较弱 - 依赖 HTTP 而非 HTTPS，或使用过时的 TLS 版本的系统，更容易遭受 MITM 攻击。
• 配置错误的系统 - 不正确的网络或 DNS 配置可能会使通信路径暴露于被拦截的风险。
• 端点安全薄弱 - 过时的设备、未打补丁的软件以及缺乏端点防护，会形成很容易被入侵的切入点。
• 用户安全意识低 - 无法识别网络钓鱼尝试或不安全网络的员工会增加遭受中间人（man in the middle）网络攻击的风险。

当满足以下情况时，中间人（man-in-the-middle）攻击的可能性会显著增加：

• 用户通过公共或不受信任的网络连接
• 缺少加密或加密配置不正确
• 各系统之间的安全控制不一致

由于自动化和由 AI 驱动的技术，MITM 攻击正变得更有效。攻击者现在可以：

• 更快地扫描网络
• 实时识别薄弱环节
• 以最少的手动工作发起攻击

这降低了入门门槛，并扩大了攻击规模。

需要记住的是，网络安全中的中间人攻击（man-in-the-middle）不只是网络问题，它也是可视性与控制方面的问题。

如果你无法清楚地看到：

• 谁在访问你的系统
• 数据如何传输
• 哪些连接是受信任的

- 你无法有效降低风险。

如何防止中间人（Man-in-the-middle）攻击

防止中间人（Man in the middle）攻击需要实施不同的技术组合、策略以及员工意识提升举措。

以下是防止 MITM（中间人）攻击的最有效方法：

使用 HTTPS 和 HSTS

使用 HTTPS 和现代 TLS 协议对所有通信进行加密。这可防止攻击者读取或篡改传输中的数据。

启用 HTTP Strict Transport Security（HSTS）以强制使用安全连接，并阻止诸如 SSL stripping 之类的降级攻击。定期更新 SSL/TLS 证书，并禁用过时的协议。

在不受信任的网络上使用 VPN

虚拟专用网络（VPN）会加密用户与网络之间的通信数据。 在公共 Wi‑Fi 上尤其重要，因为中间人攻击很常见。

VPN 有助于确保即使通信数据被拦截，也无法轻易读取或篡改。

启用多因素认证（MFA）

多因素认证通过在凭据（例如认证应用、安全密钥或一次性密码 OTP）之外再提供额外的验证因素，并结合生物识别验证，为终端用户的认证与授权流程增加了一层安全保障。即使凭据被拦截，这也能降低凭据被滥用的风险。即使攻击者已经获取了你的用户名和密码，也无法绕过用于认证和访问的额外验证层。

应用零信任和网络分段

Zero trust 是一种安全框架，其含义是“永不信任，始终验证”，假设任何用户账户或设备都可能被攻破，并且在访问资源之前必须先进行身份认证与授权。

Zero trust 架构包括通过将网络划分为安全且相互独立的多个网段来实施网络分段，应用最小权限策略（例如基于“需要访问”来授予相应权限），并持续验证用户身份、监控活动模式。

使用 DNSSEC、DoH 和 DoT 保障 DNS 安全

Domain Name System (DNS) 会把人类可读的域名（例如 google.com）转换为 IP 地址。MITM 攻击经常针对这一过程，以便在用户不知情的情况下重定向流量。

DNS spoofing 通过篡改 DNS 响应，攻击者可以将用户重定向到恶意网站。用户不会访问到合法网站，而是在不知不觉中被路由到攻击者控制的基础设施。

为降低这种风险，组织可以实施诸如 DNSSEC 之类的 DNS 安全控制。DNSSEC 有助于确保 DNS 响应的真实性和完整性，从而使攻击者更难篡改这些响应。

包括 DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 在内的额外保护会对客户端与服务器之间的 DNS 流量进行加密。这样可以防止攻击者在传输过程中拦截或篡改 DNS 查询。

培训用户识别威胁

即使采取了最完善的技术安全措施，精心制作的网络钓鱼邮件仍可能欺骗缺乏培训的员工，导致账户或网络分段被攻破。因此，重要的是投资于员工培训。

员工应了解如何：

• 识别钓鱼尝试
• 避免连接到不受信任的网络
• 识别可疑的登录或证书警告

定期培训和模拟有助于降低因人为错误导致中间人（man-in-the middle）攻击的风险。

Netwrix 如何帮助防止 MITM 攻击

中间人（MITM）攻击不会止步于拦截。真正的风险往往在攻击者攻破凭据之后才开始出现。

Netwrix Change Tracker通过监控关键系统的未授权配置变更，帮助安全团队发现接下来发生了什么。若攻击者使用被盗凭据修改系统设置、创建持久性（persistence）机制，或更改安全控制，平台会以清晰的上下文标记这些变更：变更了什么、何时发生、由谁发起。这样使团队能够更快地展开调查并遏制威胁。

与此同时，团队还可以尽早发现异常的身份验证行为，例如不寻常的登录模式或凭据误用，从而帮助他们识别账户是否已被攻破，并在攻击者深入环境之前阻止其进一步行动。

MITM 攻击检测、缓解与响应

尽早发现 man-in-the-middle attack 并迅速响应，可以将损害降到最低。强有力的做法应结合用户意识、快速响应以及持续的安全改进。

早期预警信号

MITM（中间人）攻击通常会呈现一些细微但明显的迹象。留意：

• 登录或远程会话过程中出现意外的连接中断
• SSL 证书警告（已过期、无效或不受信任的证书）
• 网站加载缓慢或显示内容被篡改
• 尽管仍处于有效会话中，却反复出现登录提示

这些迹象可能表明通信正在被拦截或被篡改。

立即响应

如果怀疑遭受中间人（man-in-the-middle）攻击，请迅速采取行动以遏制风险：

• 断开受影响设备的连接（从 Wi-Fi、VPN 或有线网络）
• 立即更改凭据（包括密码、API 密钥和访问令牌）
• 启用多因素认证（MFA） 对受影响的账户（如果尚未启用）
• 通知内部团队和相关方（包括 IT、安保团队或服务提供商）

完成遏制后，通过审查日志、终端活动和网络流量来调查事件范围，以确定 MITM 攻击是如何发生的。

长期缓解

降低未来 MITM 攻击风险需要持续一致的安全控制：

• 强制采用诸如 TLS 1.3 等现代加密标准，并禁用过时的协议
• 使用 VPN 以实现安全的远程访问
• 部署 IDS/IPS 解决方案以监控网络流量
• 实施 DNS 安全控制，例如 DNSSEC
• 定期更新系统、证书和安全配置

通过以下方式增强可视性和检测能力：

• 审查防火墙、服务器和终端上的日志
• 定期进行渗透测试
• 部署终端检测与响应（EDR）工具

用户意识也同样起着至关重要的作用。培训员工识别网络钓鱼尝试、证书警告以及不安全的网络。

MITM 攻击对不同行业的影响

中间人（Man-in-the-middle）攻击可能对各行业造成严重后果，包括数据泄露、金融欺诈、声誉受损以及监管处罚。

MITM 攻击的演进及未来趋势

关键统计数据与信息图

• 中间人（MITM）攻击仍是一种常见技术，行业报告指出其占到漏洞利用活动的比例可达 35%。
• 在暗网论坛上被窃取并泄露的数据中，有 58% 来自 MITM 攻击，随后这些数据会被拿来交易并用于犯罪活动。
• 根据 Cybersecurity Ventures 的预测，2020 年预计网络安全措施的年度成本将以每年 15% 的速度增长，到 2025 年将达到 10 万亿美元。

最后的思考

man-in-the-middle (MITM) attack 目标是您环境中的关键环节之一：传输中的数据。从拦截到解密与篡改，这类攻击会利用网络安全、加密以及用户行为方面的漏洞。

金融、医疗、零售和政府等行业由于所处理的是敏感数据，因此面临更高的风险。成功的中间人攻击可能导致财务损失、监管处罚，以及对客户信任造成长期损害。

降低风险的起点是：了解身份（identities）和数据如何在您的环境中流动。组织应重点关注：

• 通过 HTTPS 和 VPN 强制安全通信
• 使用 MFA 强化身份保护
• 监控网络和终端活动
• 保护 DNS 并防止欺骗（spoofing）
• 培训用户识别钓鱼（phishing）和不安全网络

没有任何单一控制措施能够阻止所有 MITM 攻击。采用分层的方法——结合加密、身份安全以及持续监控——是保护你环境的关键。

常见问题（FAQ）部分