演示流程

1、手機與電腦連接至同一個局域網

2、Wireshark 抓包，https亂碼；

3、運行中間人攻擊程序，截斷數據流，獲取美團登錄的明文賬戶名、密碼

ARP欺騙

ARP：地址解析協議，把ip地址解析為mac地址ARP廣播階段：目標Mac地址填FF-FF-FF-FF-FF-FF，廣播自己ip、mac地址ARP應答階段：向那個主機發送自己的ip、mac地址

ARP緩存表

緩存ip與mac地址鍵值對

實現

A電腦想監聽C電腦，就偽裝為路由器ip，然后寫上自己物理地址，封裝好 ARP 包，隔幾秒發送一次給 C， C接收到后，會內建一個ARP緩存表，修改路由器ip、mac地址對應關系后，然后把數據包就都發給攻擊者了

如果想攻擊某個設備，好像還是要先控制所有的流量，然后根據設備流量中的特征判斷設備種類

我司禁用了ARP，不存在這個安全問題

HTTPS轉明文（由中間人攻擊實現）

如何進入一個HTTPS網站？先通過HTTP訪問一個服務器302重定向https的超鏈接也就是說，使用Https之前使用的是http

一些事實

可以監聽http流量重要的數據都是通過https傳輸的用戶對于服務端重定向返回的連接是否是https毫不知情

攻擊原理

監聽http流量將請求 url 中的https，替換為http，發給被監聽主機客戶端用https與服務端通信，然后用http與被監聽主機通信

用NodeJS寫的 demo:

https://github.com/zsky/sslstrip

攻擊結果

服務器毫不知情客戶端無任何警告攻擊者獲取了所有的通信信息

防御：HSTS指令

1、max-age，告訴瀏覽器在指定時間內，網站必須通過HTTPS協議來訪問2、includeSubDomains，這個網站所有子域名都必須用https3、...Ngix配置就好

使用效果

第一次訪問還是先通過http瀏覽器得到 HSTS 的指令后，記錄下來之后瀏覽器會把網站所有http請求替換為https

風險

第一次還是可能會被攻擊

解決風險

HSTS PReload list內置在瀏覽器中，由 Google Chrome 維護第一次時就直接通過https訪問在 http://hstspreload.appspot.com 可注冊到 HSTS Preload list 中

參考文檔

http://mit.sankuai.com/activity/#/12006