編者注：本文摘自于即將出版的黑客新書(shū)《暗戰(zhàn)：數(shù)字世界之戰(zhàn)》第一章 黑暗中的影子 網(wǎng)絡(luò)篇，前京東安全經(jīng)理朱磊轉(zhuǎn)型之作，從業(yè)十余年經(jīng)歷自述。

[[131010]]

黑夜給了我黑色的眼睛，我卻用它來(lái)翻白眼。如果你用這句話做過(guò)論壇簽名，你是一位資歷還算比較老的黑客，或者稱之為信息安全愛(ài)好者更為貼切一些。那還是一個(gè)在論壇中討論各類遠(yuǎn)程溢出、弱口令掃描，論壇中還會(huì)有一個(gè)板塊公布讓大家練手的弱口令肉雞的開(kāi)放時(shí)期，使用著流光和灰鴿子，偶爾自己電腦還中個(gè)震蕩波病毒手足無(wú)措看著電腦陷入一次次重啟倒計(jì)時(shí)的年代。

在信息安全發(fā)展的每一個(gè)階段都有很多歷害的人出現(xiàn)，工具越寫(xiě)越強(qiáng)大，攻擊手法越來(lái)越風(fēng)騷，在信息安全這個(gè)行當(dāng)里浪蕩了十多年讓我了解到人外有人，山外有山，高人外還有高人，讓我養(yǎng)成了低調(diào)的性格，我從來(lái)不炫耀自己知識(shí)淵博，經(jīng)驗(yàn)豐富，代碼風(fēng)騷，工作效率恐怖，各類開(kāi)發(fā)語(yǔ)言無(wú)不精通，熟練掌握各種攻擊技巧，日出而息，日落耕作，默默苦練技能20余年，一天只睡3小時(shí)，且身體強(qiáng)壯?？蛇B續(xù)黑站100小時(shí)不休息，同時(shí)與不支持我黑站事業(yè)的所有人斷絕關(guān)系，如果你讀到這里感覺(jué)頭暈?zāi)垦?，有一種想發(fā)泄怒火關(guān)電腦砸鍵盤的沖動(dòng)，那么恭喜你，這是正常的情緒，如果你讀完這一小節(jié)文字感覺(jué)很舒服、猶如打通了任督二脈，那么也恭喜你，你該吃藥了。

在甲方公司工作多年經(jīng)歷過(guò)很多有意思的攻擊事件，也嘗試過(guò)一些有意思的手法，至少在當(dāng)時(shí)讓很多同事哭笑不得關(guān)機(jī)砸鍵盤怒罵大dengjiu。

早些年間在企業(yè)內(nèi)做信息安全主要的工作是做滲透測(cè)試，挖代碼漏洞，做安全培訓(xùn)，制定各類標(biāo)志性的制度和規(guī)范。滲透測(cè)試一定是擺在第一位開(kāi)山斧。至少在內(nèi)部發(fā)現(xiàn)一堆無(wú)法衡量損失的看上去很歷害的漏洞可以向領(lǐng)導(dǎo)邀功，證明自己是有價(jià)值的小阿三。

內(nèi)部環(huán)境的管理混亂導(dǎo)致的安全隱患是通用的表現(xiàn)，到現(xiàn)在為止此類問(wèn)題還存在與很多公司中。IP管理混亂、弱口令、低版本應(yīng)用程序、未經(jīng)安全測(cè)試的各類運(yùn)維支撐系統(tǒng)，依然是常見(jiàn)的內(nèi)網(wǎng)問(wèn)題。

喜愛(ài)故作神秘的我喜歡在出其不意的時(shí)間使用一種風(fēng)騷的方式進(jìn)行企業(yè)內(nèi)網(wǎng)的滲透測(cè)試，滲透測(cè)試開(kāi)始時(shí)我只會(huì)郵件通知我的領(lǐng)導(dǎo)，我將要開(kāi)始做這件事情，同時(shí)，會(huì)在中午12點(diǎn)準(zhǔn)時(shí)開(kāi)始動(dòng)手，因?yàn)檫@個(gè)時(shí)候大家都去吃午飯了，很多人是沒(méi)有鎖屏習(xí)慣的，挨個(gè)給PC機(jī)上建一個(gè)管理員賬號(hào)并開(kāi)啟遠(yuǎn)程終端。同時(shí)，為了了解大家使用密碼的習(xí)慣，萌發(fā)了一個(gè)更風(fēng)騷的想法，通過(guò)ARP欺騙的方式對(duì)大家的密碼進(jìn)行一次統(tǒng)一的收集，一個(gè)萬(wàn)劫不復(fù)歷史罪人的舉動(dòng)。。。。。

在這個(gè)不冷靜的想法之下我做了一件不冷靜的事情，我沒(méi)有判斷當(dāng)時(shí)的網(wǎng)絡(luò)環(huán)境是否支持混雜模式，直接開(kāi)啟了ARPSNIFFER，結(jié)果導(dǎo)致辦公區(qū)集體斷網(wǎng)。幸好大家的慣性思維解救了我，在斷網(wǎng)的那一刻，只聽(tīng)網(wǎng)管大喊，內(nèi)網(wǎng)出來(lái)ARP病毒了，大家快殺毒。哈哈。我快速停掉ARP攻擊，網(wǎng)絡(luò)恢復(fù)正常，大家沒(méi)有走心事情也就過(guò)去了。

看來(lái)只能換思路了，ARP SNIFFER有兩種使用場(chǎng)景，一是以自己做為主角對(duì)網(wǎng)關(guān)進(jìn)行欺騙，二是只監(jiān)聽(tīng)本機(jī)數(shù)據(jù)包。在嘗試欺騙大家讓自己成為網(wǎng)關(guān)失敗后，只能用第二種方式了，要使用本機(jī)監(jiān)聽(tīng)有一個(gè)條件，就是要獲得主機(jī)的權(quán)限?？紤]到企業(yè)內(nèi)部通常為了賬號(hào)統(tǒng)一，ERP/OA/MAIL等內(nèi)部系統(tǒng)都采用統(tǒng)一認(rèn)證。只要拿下其中一臺(tái)主機(jī)的權(quán)限就大功告成了。

在經(jīng)過(guò)一番嘗試之后，我將目標(biāo)選為郵件服務(wù)器，企業(yè)內(nèi)部為了最大化的利用資源，通過(guò)內(nèi)部系統(tǒng)會(huì)將好幾個(gè)應(yīng)用放在一起共用一臺(tái)服務(wù)器，郵件服務(wù)器就是此類。使用MS SQL弱口令獲得了系統(tǒng)的管理員權(quán)限，并成功在服務(wù)器上部署了HTTP SNIFFER。監(jiān)聽(tīng)FTP、HTTP、25。盯了一會(huì)屏幕發(fā)現(xiàn)這種守株待兔的方式獲取密碼的效率并不高。想要在短時(shí)間內(nèi)收集最多的密碼還需要一個(gè)方式。

此時(shí)隔壁的小明一句閑聊讓我神清氣爽起來(lái)。今天是發(fā)工資的日子，公司有一個(gè)慣例，HR的系統(tǒng)會(huì)在發(fā)工資的日子給大家郵件工資明細(xì)。

小明一句失望的“工資還沒(méi)到賬”敲醒了我的腦殼。于是我在公司的內(nèi)部通訊平臺(tái)RTX中的公司大群里喊了一句“工資到賬了”秒秒鐘后SNIFFER的郵件服務(wù)器上快速的翻頁(yè)很短的時(shí)間內(nèi)得到了很多人的密碼。在小明莫名奇妙的眼神看向我時(shí)，我得意的甩還一個(gè)浪蕩的眼神。眼角的余光還看見(jiàn)小明小盆友默默的也點(diǎn)了一次收件按鈕，在他惡恨恨的一句“騙子”聲中我得意的看著自己的收獲。

也在這一次的測(cè)試過(guò)程中我不止收獲了大部分人的密碼，同時(shí)，也收獲了公司第一期信息安全公開(kāi)課的授權(quán)以及近百名首批聽(tīng)課的學(xué)員。

解說(shuō)：ARP攻擊原理

攻擊者向電腦A發(fā)送一個(gè)偽造的ARP響應(yīng)，告訴電腦A：電腦B的IP地址192.168.0.2對(duì)應(yīng)的MAC地址是00-aa-00-62-c6-03，電腦A信以為真，將這個(gè)對(duì)應(yīng)關(guān)系寫(xiě)入自己的ARP緩存表中，以后發(fā)送數(shù)據(jù)時(shí)，將本應(yīng)該發(fā)往電腦B的數(shù)據(jù)發(fā)送給了攻擊者。同樣的，攻擊者向電腦B也發(fā)送一個(gè)偽造的ARP響應(yīng)，告訴電腦B：電腦A的IP地址192.168.0.1對(duì)應(yīng)的MAC地址是00-aa-00-62-c6-03，電腦B也會(huì)將數(shù)據(jù)發(fā)送給攻擊者。

至此攻擊者就控制了電腦A和電腦B之間的流量，他可以選擇被動(dòng)地監(jiān)測(cè)流量，獲取密碼和其他涉密信息，也可以偽造數(shù)據(jù)，改變電腦A和電腦B之間的通信內(nèi)容。

如果你覺(jué)得這種解釋太難懂，那么我用一個(gè)更簡(jiǎn)單的例子告訴你ARP攻擊 是怎樣的。

我是隔壁老王，我欠隔壁小王500塊錢，然后我今天發(fā)工資了去還錢，當(dāng)我敲開(kāi)小王家門的時(shí)候發(fā)現(xiàn)小王媳婦穿著睡袍那樣子特別滴性感，于是我跟小王老婆說(shuō)，我給你500塊錢，你給我看一眼裸體，小王老婆答應(yīng)了，讓我看了她的裸體然后我把500塊錢，她十分開(kāi)心收下錢關(guān)上門，成功欺騙并獲得信任。

點(diǎn)評(píng)

企業(yè)內(nèi)網(wǎng)猶如受圍墻保護(hù)的居民，大家總認(rèn)為與外界隔離又受到各種網(wǎng)絡(luò)限制和防護(hù)，使用弱口令、低版本的運(yùn)維支撐系統(tǒng)不會(huì)有任何問(wèn)題，這個(gè)想法是十分糟糕的，既然今天的話題中得到了ARP攻擊，那針對(duì)ARP的防護(hù)辦法是內(nèi)部建立規(guī)范的IP管理制度，針對(duì)IP地址進(jìn)行登記管理，同時(shí)，在交換機(jī)中進(jìn)行MAC綁定，關(guān)閉交換機(jī)的混雜模式。

1.內(nèi)部建立規(guī)范的IP管理制度，針對(duì)IP地址進(jìn)行登記管理。

2.在交換機(jī)中進(jìn)行MAC綁定。

3.關(guān)閉交換機(jī)的混雜模式。