流量劫持是如何产生的？（上）

上古时代：

• Hub 嗅探

• MAC 欺骗

• MAC 冲刷

• ARP 攻击

• DHCP 钓鱼

• DNS 劫持

• CDN 入侵

中世纪：

• 路由器弱口令

• 路由器 CSRF

• PPPoE 钓鱼

• 蜜罐代理

工业时代：

• WiFi 弱口令

• WiFi 伪热点

• WiFi 强制断线

• WLAN 基站钓鱼

Hub 嗅探

Hub:唯一的功能广播数据包。带宽小，转发规则不合理，安全性低。
嗅探原理：把一个接口收到的数据包群发到所有接口上，任何人能收到整个网络环境的数据。
利用方式：旁路嗅探，配置好过滤器，就能捕捉到各种明文数据。例如不影响正常通信下抓取机顶盒的数据包。
防范措施：还是扔了吧，基本没有防御对策。

MAC 欺骗

交换机默认模式会通过自动学习，根据某个接口发出的包，自动关联该包的源地址到此接口。由于用户发送一个自定义源 MAC 地址的包是非常容易的，因此交换机容易被欺骗。

攻击方式：
1、伪造一个源地址，将这个地址关联到自己的接口上，以此获得受害者的流量。不过，受害者接着再发出一个包，绑定关系又恢复原先正常的。因此只要比谁发的频繁，谁就能竞争到这个 MAC 地址的接收权。
2、如果伪造的是网关地址，交换机就误以为网关电缆插到你接口上，网络环境里的出站流量瞬间都到了你这里，可导致用户瞬间集体断网。如果有出站渠道，可以将窃取的数据代理转发出去，就可以成功代替真网关。
防范措施：尽量绑定 MAC 和接口。独立的子网段尽可能划分 VLAN，避免过大的广播环境。

MAC 冲刷

原理：交换机发现一个暂时还未学习到的 MAC 地址，将会把数据包广播到所有接口。如果交换机的学习功能失效，那就退化成一个集线器。而且交换机的硬件配置有限，不可能无限多的记录地址对应条目。

攻击方式：不停伪造不重复的源地址，交换机里的记录表很快就会填满，甚至覆盖原有的学习记录，用户的数据包无法正常转发，只能广播到所有接口上了。
防范措施：MAC 和接口绑定。一旦绑定，该接口只允许固定的源地址，伪造的自然就失效了。当然，好一点的交换机都有些策略，不会让一个接口关联过多的 MAC 地址。
实战：曾经在家试过一次，捕捉到小区内用户上网的流量。不过伪造包发的太快，~15万包/秒，更致命的是发错目标地址，发到城域网准入服务器上，导致工作人员切断了整个小区半天的网络... 所以必须得选一个 VLAN 内的、并且实际存在的地址做为目标 MAC，以免产生大量的数据风暴。

ARP 攻击

原理：ARP 就是广播查询某个 IP 对应的 MAC 地址，在用这个 IP 的人回个声。知道这个 IP 对应的 MAC 地址，就可以链路通信了（链路层只能通过MAC地址通信）。如果有人冒充回复，并抢在正常人之前，伪造的答案也就先入为主。IP 被解析到错误的地址上，之后所有的通信都被劫持了。

防范措施：大部分路由器、pc客户端都带了防 ARP 攻击的功能。也可强制绑定 IP 与 MAC 的对应关系。

DHCP 钓鱼

原理：DHCP发送UDP广播，内网环境里的所有用户都能收到，且选择最先收到的。如果存在多个DHCP服务器，则分别予以回复。（链路层的通信只要有 MAC 地址就行，IP 地址已属于网络层）
攻击方式：黑客在内网里开启DHCP服务后，用户收到的回复包有可能就是黑客发出的。
防范措施：最好手动配置。严格控制DHCP回复的权限，只允许交换机特定的接口才有资格发送回复包。(这类提问/抢答模式协议，都面临被冒充回答的风险。)

DNS 劫持

危害：DNS服务一旦被黑客控制，用户发起的各种域名解析，都将被暗中操控。将正常网站解析成黑客服务器的 IP，并事先开启了 HTTP 代理，用户上网时几乎看不出任何破绽；而黑客则获取到所有访问流量，各种网站账号信息都将一览无余。

攻击方式：DNS 缓存投毒（以后会专门介绍）
防范措施：手动设置一些权威的 DNS 服务器，例如 8.8.8.8，114.114.114.114或者电信联通阿里等等。重点是配置好家用路由器的dns设置！！！

CDN 入侵

原理：CDN 加速本身就是一种 良性DNS劫持。不同于黑客强制 DNS 把域名解析到自己的钓鱼 IP 上，CDN 则是让 DNS 主动配合，把域名解析到临近的服务器上。这台服务器同样也开启了 HTTP 代理，让用户感觉不到 CDN 的存在。CDN 并不劫持用户所有流量，它只『劫持』用户的静态资源访问，对于之前用户访问过的资源，CDN 将直接从本地缓存里反馈给用户，以此达到加速的目的。
攻击方式：网页被注入脚本，可执行文件被感染等等。（只要是有缓存的地方，都会有极大的危险性）
防范措施：选择靠谱的CDN运营商。不靠谱的CDN 黑白通吃，为了省流量不按套路出牌，超过了缓存时间也不更新等等。