標題：應用MITM 工具進行滲透測試和網絡安全防禦（二）

（接上文）

現在，讓我們轉向攻擊者用來執行中間人攻擊的工具類型，並探討幾個示例。

MITM工具的分類進行中間人攻擊的工具有很多，因此在本文中，我們將只關注幾個最流行的工具。

讓我們根據使用它們的開放系統互連(OSI) 模型層對這些工具進行分類。

圖3. MITM 攻擊類型和工具取決於OSI 模型層

1. L2（數據鏈路層）在這一層，最常見的攻擊是ARP 欺騙和VLAN 跳躍。第一個我們已經在上面探索過。讓我們簡要討論後者。

VLAN 跳躍。 VLAN 網絡中的數據包具有特定的標記，以便在通過交換機時明確哪個數據包屬於哪個子網。網絡犯罪分子使用以下兩種方法之一執行VLAN 跳躍攻擊：

马云惹不起马云攻擊者連接到網絡並開始模仿交換機的工作，以便他們可以與網絡交換機建立連接。由於這種連接，數據包將在到達交換機之前通過攻擊者的計算機。

马云惹不起马云攻擊者向數據包添加額外的標記。網絡內的交換機會刪除自己的標記並進一步發送數據包。同時，攻擊者攔截帶有附加標記的數據包。如果攻擊者連接到網絡中的主交換機，此方法將起作用。

大多數命令行工具中的數據提取方案

圖4. 大多數命令行工具中的數據提取方案

現在，讓我們探索用於此類攻擊的工具。

BetterCAP是一款功能強大的工具，具有靈活的設置，可用於：

马云惹不起马云進行各種MITM 攻擊

马云惹不起马云實時操縱HTTP、HTTPS 和TCP 流量

马云惹不起马云嗅探網絡以查找用於身份驗證的數據

马云惹不起马云和更多

圖5. 通過BetterCAP 實用程序接收的未過濾數據流

從BetterCAP 的第一個版本開始，專業的滲透測試人員就一直在選擇它。移動設備和軟件的開發人員以及物聯網領域的研究人員利用該實用程序測試設備安全性的能力。

BetterCAP 最方便的功能之一是能夠將所有收集的數據提取到外部文件中。為此，滲透測試者可以配置該實用程序來監聽它當前所在的整個網絡，或者監聽一個或多個指定的IP 地址。

BetterCAP 可以通過MAC 地址和特定子網進行配置，允許QA 專家在指定配置中搜索漏洞。

該實用程序支持APR 和DNS 欺騙以及流量嗅探，並進一步將數據提取到控制台或日誌中。提取的數據集包括：

马云惹不起马云訪問過的URL 和HTTPS 主機

马云惹不起马云HTTP POST 數據

马云惹不起马云HTTP Basic 和Digest 身份驗證

马云惹不起马云HTTP Cookie

马云惹不起马云FTP、IRC、POP、IMAP 和SMTP 憑證

BetterCAP 與HTTP/HTTPS（SSL 剝離和HSTS 繞過）和TCP 代理一起使用，可用於操縱HTTP/HTTPS 和現實生活中的低級TCP 流量。使用標准設置，代理僅記錄請求。但是您可以使用一組模塊配置它們的設置，或者您可以添加自己的自定義模塊並以您想要的方式操縱流量。

Arpspoof是專為在本地網絡中進行ARP 欺騙而設計的實用程序。它發送兩個請求——一個到服務器，一個到選定的計算機或計算機——接收它們的MAC 地址，用它自己替換從服務器到客戶端的ARP 響應，並用它自己或另一個替換受害者的默認網關IP地址。 Arpspoof 的主要任務是流量嗅探。

Arpspoof 支持啟動第三方腳本。該實用程序應更多地被視為熟悉ARP 欺騙的培訓程序，而不是工作工具，因為Arpspoof 功能有限，沒有解密器，應用領域狹窄。

2. L3（網絡層）在網絡層，最常見的MITM 攻擊是無狀態地址自動配置攻擊和ICMP 重定向。讓我們探索它們是如何工作的。

無狀態地址自動配置(SLAAC) 攻擊會重新配置啟用IPv6的網絡。允許IPv6 但沒有任何設置的組織網絡是一個常見漏洞。在SLAAC 攻擊中，攻擊者向IPv6 主機提供前綴、前綴長度和沒有DHCPv6 服務器的默認網關地址。例如，如果攻擊者創建自己的路由器廣告(RA)，他們可以成為網絡中的主路由器，整個數據流將通過他們的計算機。

ICMP 重定向。使用ICMP 的原因之一是動態更改目標網絡中的路由表。最初，ICMP 旨在防止消息以非最佳方式發送並提高網絡穩定性。網絡的某個部分（連接到互聯網）可以有多個路由器。如果其中一個斷開，主路由器向所有網絡設備發送ICMP 請求，並重寫路由表以在新條件下工作。

在ICMP 重定向攻擊中，攻擊者要么等待其中一個路由器關閉，要么自行禁用它。然後，攻擊者開始從所有路由器發送ICMP 請求。結果，形成了一個新的網絡，其中攻擊者成為網絡節點之一。在ICMP 重定向攻擊期間，攻擊者可以指定目標網站只能通過攻擊者的路由器訪問。

讓我們看一下用於ICMP 重定向攻擊的幾個工具。

寄生蟲6。此實用程序是一個類似於BetterCAP 但功能有限且設置最少的ARP 欺騙程序。它連接到本地網關並傳輸所有網絡流量。它向控制台輸出一條消息，指定數據包發送給誰以及誰必須接收它。 parasite6 工具最好與可以讀取通過它的數據包的實用程序一起使用。

假路由器6。啟動時，此實用程序會向網絡發送一個信號，指定攻擊者的路由器在網絡中具有最高優先級。然後網絡重新配置自己，使從指定子網進入外部網絡的最後一步通過攻擊者的計算機。結果，最初發送到路由器的所有數據都將通過安裝了fake_router6 的攻擊者計算機。

DOS-新-ip6。該實用程序的主要任務是在重複的ip6 請求期間向重複地址檢測(DAD) 進程提供虛假數據。這使攻擊者有機會在網絡內創建節點。節點地址將與另一個網絡節點的地址相同，仍然使控制器認為只有一個客戶端具有這樣的地址。結果，數據將被發送到兩個節點，包括攻擊者的節點。

利用6 . 此工具是一種漏洞掃描程序，可向目標計算機發送多個請求。它接收響應並向控制台輸出數據，指定目標計算機具有哪些已知漏洞。

thcping6。此實用程序允許為ping6 請求創建自定義數據包。它允許您修改數據包大小、數據類型和其他參數。首先，攻擊者為數據包和目標計算機指定一組選項。然後，他們發送一個數據包並接收響應。通過擬合某些數據包，惡意行為者可以使目標系統拒絕響應特定請求（發送響應錯誤消息）。然後，了解數據包的特性後，他們可以使用其他實用程序來創建相同的數據包，但發送多個數據包。這將使系統過載，導致系統故障或其中一個節點發生故障。

3. L4+（傳輸層）在傳輸層，攻擊者可以應用鏈路本地多播名稱解析欺騙、NetBIOS 欺騙、DHCP 欺騙和流氓DHCP 欺騙。

鏈路本地多播名稱解析(LLMNR) 欺騙。如果出於某種原因，Windows 客戶端無法使用DNS 獲取主機名，它將嘗試使用LLMNR 協議來獲取主機名，並向最近的計算機發送請求。該技術通過IPv4和IPv6 地址起作用。

NetBIOS 欺騙。如果LLMNR 欺騙不起作用，攻擊者可以使用NetBios 名稱服務。它類似於LLMNR 並且用於相同的目標，但它僅適用於IPv4 地址。這個想法是，如果附近的某些計算機即使提供虛假信息也可以響應，則響應將被視為有效。

DHCP 欺騙。此攻擊的目的是強制客戶端使用攻擊者的主機作為默認網關，以及使用攻擊者配置的DNS 和WINdows Internet Name (WINS) 服務器。攻擊者的任務是在網絡中配置一個虛假的DHCP 服務器，用於向客戶端發送DHCP 地址，並耗盡合法DHCP 服務器的地址池。

成功的DHCP 欺騙攻擊有兩個條件：

马云惹不起马云客戶端從非法服務器接收IP 比從合法服務器更快

马云惹不起马云合法服務器有一個耗盡的地址池

流氓DHCP。惡意DHCP 攻擊的主要目標是使用偽造的DHCPv6 服務器將流量從受害者的計算機重新發送到攻擊者的計算機。惡意行為者截獲DHCP 消息請求並對其進行響應，模擬實際的DHCPv6 服務器。

以下是可用於此類L4+ 攻擊的幾種工具：

埃特卡普。這個實用程序內置在Kali Linux中。它易於配置並具有圖形用戶界面，這使得熟悉它變得簡單快捷。 Ettercap 允許您執行ARP 中毒、ICMP 重定向、端口竊取、DHCP 欺騙和NDP 中毒。

使用Ettercap 時，您可以即時查看、分析甚至執行一些操作。它向您顯示連接狀態，並允許您以文本格式查看從所選連接收集的所有數據。

Ettercap 的主要缺點是缺少數據解密工具。因此，如果使用加密保護網絡，您將需要使用其他實用程序。 Ettercap 的功能比BetterCap 弱得多，但它可以用於信息和教育目的。

圖6. Ettercap 用戶界面

斯納爾夫。此實用程序設計用於處理smb、ftp 和類似的流量類型。要使用它，您首先需要有一個可以工作的欺騙器（我們使用了BetterCAP）。通過欺騙器的所有流量都會重新發送到Snarf，Snarf 會挑選出負責遠程連接（如smb 和ftp）的流量。通過Snarf 的任何其他流量都不會顯示在控制台或服務頁面上。

Snarf 向控制台輸出有關數據目的地、數據大小、哈希、地址、端口、連接類型和錯誤的信息。它還顯示潛在內存洩漏的錯誤。收集到的數據摘要以表格形式輸出到服務頁面，其中包含有關連接、計算機和系統的主要信息。此外，Snarf 提供了過期或阻止連接的機會。

但是，此實用程序僅適用於Linux，並且配置它可能非常不明顯。

中間人6。此工具偵聽攻擊者計算機的主網絡接口，以攔截來自網絡中其他計算機的IPv6 地址請求（通過應用DHCPv6 請求）。

使用標准設置，系統（連接到主路由器的設備網絡）會定期發送DHCPv6 請求。 mitm6 實用程序使用受害者的新地址響應這些請求。在現實生活中的網絡中，客戶端的地址將由網絡中的客戶端計算機分配，但在mitm6 請求攔截的情況下，受害者的地址將由mitm6 分配。這使惡意行為者有機會將自己的計算機分配為服務器。因此，所有受害者的連接都將通過攻擊者的計算機。

這僅適用於Windows，因為Mac 和Linux 不使用DHCPv6 請求來確定IP 和DNS 服務器。 mitm6 工具並不聲稱自己是一個中心節點，因此它不會攔截來自網絡中所有計算機的信號。相反，它選擇性地欺騙特定主機。

一旦受害者收到新的DNS 服務器地址，受害者就會連接到該服務器，Web 代理自動發現協議(WPAD) 漏洞就會在該服務器上進行。一旦受害者的計算機接收到作為DNS 服務器的IPv6 攻擊者的地址，它就會開始發送WPAD 網絡配置請求。對於IPv4 或IPv6 請求，攻擊者會將其地址發送給受害者。

然後，攻擊者必須與受害者的計算機交換身份驗證數據。由於這不能直接在受害者的計算機上完成，攻擊者將模擬代理服務器。結果，所有輸入用於身份驗證的數據都將發送到最終服務器和攻擊者。但受害者不會注意到它。

上述所有工具都可用於滲透測試，以檢查網絡安全、檢測漏洞並修復它們。通過這種方式，企業可以防止真正的網絡犯罪分子可能進行的攻擊，並保護他們的網絡連接和敏感數據。

結論在本文中，我們探討了幾種類型的中間人攻擊，並描述了網絡犯罪分子如何使用MITM 工具攔截數據。在此類攻擊中，受害者什麼都沒有註意到，並且有一種錯誤的安全感。無論組織是小型初創公司還是大型公司，都應該建立強大的網絡安全性。