中间人攻击（Man-in-the-Middle Attack，简称MITM）是一种古老却依然高频出现的网络攻击方式。攻击者悄悄潜入通信双方之间，既能窃听全部数据，又能伪装成任意一方发送伪造消息。无论是公共Wi-Fi下的流量劫持，还是企业内网的ARP欺骗，都可能成为中间人攻击的入口。本文将系统讲解中间人攻击的原理、常见手法以及对应的防护方案。
一、中间人攻击的基本原理
中间人攻击的核心在于攻击者让自己成为通信链路中的“隐形中转站”。以经典的HTTP明文通信为例，客户端与服务器之间的数据完全不加密，攻击者只要处于同一网络路径上，就能通过抓包工具直接读取账号、密码、Cookie等敏感信息。
更危险的是，攻击者不只是被动窃听，还可以主动篡改。比如在你访问网页时注入恶意脚本，或将你跳转到的银行页面替换成钓鱼页面。由于整个过程中通信双方都以为自己在和对方直接对话，因此攻击极具隐蔽性。
中间人攻击的成立需要两个前提：一是攻击者能够拦截流量（例如处于同一局域网、控制路由器或Wi-Fi热点）；二是通信缺乏有效的身份验证机制。理解这两点，防护思路也就清晰了：既要加密数据，更要验证对方身份。
二、常见的中间人攻击手法
掌握攻击手法才能对症下药，以下是几种最常见的中间人攻击方式。
1. ARP欺骗：在局域网内，攻击者伪造ARP响应包，把自己的MAC地址伪装成网关，使受害者的所有流量都经过攻击者的主机。这种攻击在内网环境中非常普遍，常配合抓包工具实现会话劫持。
2. DNS劫持与DNS欺骗：DNS负责域名到IP地址的解析。攻击者通过篡改路由器DNS配置或伪造DNS响应，让你访问的域名指向恶意服务器，整个伪造过程用户几乎无感知。
3. 伪造Wi-Fi热点：攻击者创建一个与正规热点同名的免费Wi-Fi，用户连接后，所有流量都会被攻击者代理并监控，这也是公共场合最典型的攻击入口。
4. SSL剥离攻击：攻击者在用户访问网站时，把服务器返回的HTTPS链接偷偷降级为HTTP，让流量回到明文状态，从而绕过加密保护继续窃听。
5. 伪造SSL证书：如果客户端不严格校验证书，攻击者可以使用自签名证书冒充真实站点，实现对HTTPS流量的解密。早期某些应用取消证书校验的写法就埋下了这类隐患。
三、HTTPS与SSL证书校验
HTTPS通过TLS协议对通信进行加密，是抵御中间人攻击的第一道防线。但需要注意，仅仅使用HTTPS还不够，客户端必须严格校验证书的合法性，否则加密形同虚设。
以Android开发为例，下面这种取消证书校验的写法是绝对禁止的：
// 危险写法：信任所有证书，等于放弃HTTPS保护
TrustManager[] trustAll = new TrustManager[]{
new X509TrustManager() {
public void checkClientTrusted(X509Certificate[] chain, String authType) {}
public void checkServerTrusted(X509Certificate[] chain, String authType) {}
public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[0]; }
}
};
// 这样做会导致应用完全暴露在中间人攻击之下正确的做法是使用系统默认的证书校验逻辑，确保服务器证书由受信任的CA机构签发，且域名与访问地址一致。对于安全要求更高的场景（如银行、支付类应用），可以采用证书固定（Certificate Pinning）技术，即客户端只信任特定的证书或公钥，即使攻击者持有其他CA签发的合法证书也无法冒充。
在服务器端，应启用HSTS（HTTP Strict Transport Security），强制浏览器始终使用HTTPS访问，从根源上杜绝SSL剥离攻击：
# Nginx 中配置 HSTS，强制浏览器使用 HTTPS add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
四、网络层与用户侧的综合防护
除了加密通信，还需要从网络环境和用户习惯两方面加固防线。
在服务器与运维层面，可以采取以下措施：
- 全站启用HTTPS，并禁用不安全的TLS版本（如TLS 1.0、1.1），只保留TLS 1.2及以上；
- 对敏感接口增加请求签名和时间戳，防止请求被篡改或重放；
- 内网部署动态ARP检测（如DHCP Snooping + ARP Inspection），防范ARP欺骗；
- 使用可信的DNS服务商，并为域名开启DNSSEC验证。
在用户侧，同样有一些简单有效的习惯：避免连接来路不明的公共Wi-Fi，尤其在涉及支付、登录操作时；必要时使用VPN建立加密隧道；浏览器地址栏确认网站使用的是有效HTTPS证书，遇到证书告警时不要强行继续访问。
对于开发者而言，在应用内实现敏感操作的二次校验也很重要。例如关键操作前通过短信验证码或生物识别再次确认用户身份，即使会话被劫持，攻击者也难以完成最终的敏感操作。
五、总结
中间人攻击的本质是拦截加伪装，防护的核心思路就是加密数据加上验证身份。HTTPS配合严格的证书校验是最基础的保障，证书固定和HSTS则进一步封堵降级与伪造的漏洞，再加上网络层的ARP防护、DNSSEC以及良好的用户安全习惯，就能构建起纵深防御体系。安全从来不是单一技术点的堆砌，而是覆盖传输、服务端与客户端的系统性工程，希望本文的方案能帮助你有效抵御中间人攻击的威胁。