編者注：本文摘自于即將出版的黑客新書《暗戰：數字世界之戰》第一章 黑暗中的影子 網絡篇，前京東安全經理朱磊轉型之作，從業十余年經歷自述。

[[131010]]

黑夜給了我黑色的眼睛，我卻用它來翻白眼。如果你用這句話做過論壇簽名，你是一位資歷還算比較老的黑客，或者稱之為信息安全愛好者更為貼切一些。那還是一個在論壇中討論各類遠程溢出、弱口令掃描，論壇中還會有一個板塊公布讓大家練手的弱口令肉雞的開放時期，使用著流光和灰鴿子，偶爾自己電腦還中個震蕩波病毒手足無措看著電腦陷入一次次重啟倒計時的年代。

在信息安全發展的每一個階段都有很多歷害的人出現，工具越寫越強大，攻擊手法越來越風騷，在信息安全這個行當里浪蕩了十多年讓我了解到人外有人，山外有山，高人外還有高人，讓我養成了低調的性格，我從來不炫耀自己知識淵博，經驗豐富，代碼風騷，工作效率恐怖，各類開發語言無不精通，熟練掌握各種攻擊技巧，日出而息，日落耕作，默默苦練技能20余年，一天只睡3小時，且身體強壯?？蛇B續黑站100小時不休息，同時與不支持我黑站事業的所有人斷絕關系，如果你讀到這里感覺頭暈目眩，有一種想發泄怒火關電腦砸鍵盤的沖動，那么恭喜你，這是正常的情緒，如果你讀完這一小節文字感覺很舒服、猶如打通了任督二脈，那么也恭喜你，你該吃藥了。

在甲方公司工作多年經歷過很多有意思的攻擊事件，也嘗試過一些有意思的手法，至少在當時讓很多同事哭笑不得關機砸鍵盤怒罵大dengjiu。

早些年間在企業內做信息安全主要的工作是做滲透測試，挖代碼漏洞，做安全培訓，制定各類標志性的制度和規范。滲透測試一定是擺在第一位開山斧。至少在內部發現一堆無法衡量損失的看上去很歷害的漏洞可以向領導邀功，證明自己是有價值的小阿三。

內部環境的管理混亂導致的安全隱患是通用的表現，到現在為止此類問題還存在與很多公司中。IP管理混亂、弱口令、低版本應用程序、未經安全測試的各類運維支撐系統，依然是常見的內網問題。

喜愛故作神秘的我喜歡在出其不意的時間使用一種風騷的方式進行企業內網的滲透測試，滲透測試開始時我只會郵件通知我的領導，我將要開始做這件事情，同時，會在中午12點準時開始動手，因為這個時候大家都去吃午飯了，很多人是沒有鎖屏習慣的，挨個給PC機上建一個管理員賬號并開啟遠程終端。同時，為了了解大家使用密碼的習慣，萌發了一個更風騷的想法，通過ARP欺騙的方式對大家的密碼進行一次統一的收集，一個萬劫不復歷史罪人的舉動。。。。。

在這個不冷靜的想法之下我做了一件不冷靜的事情，我沒有判斷當時的網絡環境是否支持混雜模式，直接開啟了ARPSNIFFER，結果導致辦公區集體斷網。幸好大家的慣性思維解救了我，在斷網的那一刻，只聽網管大喊，內網出來ARP病毒了，大家快殺毒。哈哈。我快速停掉ARP攻擊，網絡恢復正常，大家沒有走心事情也就過去了。

看來只能換思路了，ARP SNIFFER有兩種使用場景，一是以自己做為主角對網關進行欺騙，二是只監聽本機數據包。在嘗試欺騙大家讓自己成為網關失敗后，只能用第二種方式了，要使用本機監聽有一個條件，就是要獲得主機的權限?？紤]到企業內部通常為了賬號統一，ERP/OA/MAIL等內部系統都采用統一認證。只要拿下其中一臺主機的權限就大功告成了。

在經過一番嘗試之后，我將目標選為郵件服務器，企業內部為了最大化的利用資源，通過內部系統會將好幾個應用放在一起共用一臺服務器，郵件服務器就是此類。使用MS SQL弱口令獲得了系統的管理員權限，并成功在服務器上部署了HTTP SNIFFER。監聽FTP、HTTP、25。盯了一會屏幕發現這種守株待兔的方式獲取密碼的效率并不高。想要在短時間內收集最多的密碼還需要一個方式。

此時隔壁的小明一句閑聊讓我神清氣爽起來。今天是發工資的日子，公司有一個慣例，HR的系統會在發工資的日子給大家郵件工資明細。

小明一句失望的“工資還沒到賬”敲醒了我的腦殼。于是我在公司的內部通訊平臺RTX中的公司大群里喊了一句“工資到賬了”秒秒鐘后SNIFFER的郵件服務器上快速的翻頁很短的時間內得到了很多人的密碼。在小明莫名奇妙的眼神看向我時，我得意的甩還一個浪蕩的眼神。眼角的余光還看見小明小盆友默默的也點了一次收件按鈕，在他惡恨恨的一句“騙子”聲中我得意的看著自己的收獲。

也在這一次的測試過程中我不止收獲了大部分人的密碼，同時，也收獲了公司第一期信息安全公開課的授權以及近百名首批聽課的學員。

解說：ARP攻擊原理

攻擊者向電腦A發送一個偽造的ARP響應，告訴電腦A：電腦B的IP地址192.168.0.2對應的MAC地址是00-aa-00-62-c6-03，電腦A信以為真，將這個對應關系寫入自己的ARP緩存表中，以后發送數據時，將本應該發往電腦B的數據發送給了攻擊者。同樣的，攻擊者向電腦B也發送一個偽造的ARP響應，告訴電腦B：電腦A的IP地址192.168.0.1對應的MAC地址是00-aa-00-62-c6-03，電腦B也會將數據發送給攻擊者。

至此攻擊者就控制了電腦A和電腦B之間的流量，他可以選擇被動地監測流量，獲取密碼和其他涉密信息，也可以偽造數據，改變電腦A和電腦B之間的通信內容。

如果你覺得這種解釋太難懂，那么我用一個更簡單的例子告訴你ARP攻擊 是怎樣的。

我是隔壁老王，我欠隔壁小王500塊錢，然后我今天發工資了去還錢，當我敲開小王家門的時候發現小王媳婦穿著睡袍那樣子特別滴性感，于是我跟小王老婆說，我給你500塊錢，你給我看一眼裸體，小王老婆答應了，讓我看了她的裸體然后我把500塊錢，她十分開心收下錢關上門，成功欺騙并獲得信任。

點評

企業內網猶如受圍墻保護的居民，大家總認為與外界隔離又受到各種網絡限制和防護，使用弱口令、低版本的運維支撐系統不會有任何問題，這個想法是十分糟糕的，既然今天的話題中得到了ARP攻擊，那針對ARP的防護辦法是內部建立規范的IP管理制度，針對IP地址進行登記管理，同時，在交換機中進行MAC綁定，關閉交換機的混雜模式。

1.內部建立規范的IP管理制度，針對IP地址進行登記管理。

2.在交換機中進行MAC綁定。

3.關閉交換機的混雜模式。