4、中间人攻击（MITM）基础：MITM攻击原理、ARP欺骗与DNS欺骗简介、MITM在VoIP中的位置
各位同学，今天我们来聊聊中间人攻击。说实话，这个技术本身并不复杂，但它在VoIP世界里造成的破坏力，绝对排得上前三。我当年在给一家企业做安全审计时，就亲眼见过一次MITM攻击导致整个公司电话系统瘫痪的案例——嗯，那场面，至今记忆犹新。
4.1 什么是中间人攻击？
中间人攻击，英文叫Man-in-the-Middle，简称MITM。说白了，就是攻击者悄悄插入到通信双方之间，把自己伪装成合法的中间节点。
你想想看，正常情况下，Alice给Bob打电话，数据包是直接从Alice的终端传到Bob的终端。但MITM攻击发生后，数据包会先经过攻击者，攻击者可以查看、修改甚至伪造这些数据包，然后再转发给Bob。而Alice和Bob完全不知道中间有个人在偷听。
我个人的理解是，MITM攻击的核心在于「信任的滥用」。通信双方都信任网络中的中间节点，但攻击者恰恰利用了这种信任。
核心要点：MITM攻击的三个阶段——拦截、篡改、转发。缺一不可。
4.2 ARP欺骗——最经典的MITM手法
ARP欺骗，也叫ARP毒化，是我在项目中遇到最多的MITM攻击方式。为什么？因为它太容易实现了。
先简单说一下ARP协议。在局域网里，设备之间通信需要知道对方的MAC地址。ARP协议就是用来把IP地址解析成MAC地址的。但问题在于，ARP协议本身没有任何认证机制——谁都可以发ARP应答包，而且接收方会无条件信任。
攻击流程是这样的：
- 攻击者向目标主机A发送伪造的ARP应答，告诉它「网关的IP对应的是我的MAC地址」
- 攻击者向网关发送伪造的ARP应答，告诉它「目标主机A的IP对应的是我的MAC地址」
- 这样一来，主机A和网关之间的所有流量，都会经过攻击者的机器
我曾经在一个客户现场做过测试，用一台普通的笔记本电脑，运行一个开源的ARP欺骗工具，不到30秒就成功劫持了整个网段的VoIP流量。客户当时脸都绿了。
避坑指南：我曾经见过有人用ARP欺骗做网络监控，结果不小心把网关的ARP表搞乱了，导致整个公司断网半小时。记住，ARP欺骗是一把双刃剑，测试时一定要在隔离环境进行。
4.3 DNS欺骗——另一种常见的MITM手法
DNS欺骗和ARP欺骗的思路类似，但目标不同。ARP欺骗劫持的是网络层，而DNS欺骗劫持的是应用层。
DNS欺骗的原理很简单：攻击者伪造DNS响应，把合法的域名解析到恶意IP地址上。比如，你本来要访问sip.example.com，但攻击者让你解析到了192.168.1.100——那是攻击者自己的服务器。
在VoIP场景中，DNS欺骗特别危险。因为很多SIP终端在注册时，会通过DNS查询来找到SIP服务器。如果DNS被污染了，终端就会连接到攻击者控制的假服务器上。
| 攻击类型 | 攻击目标 | 影响范围 | 防御难度 |
|---|---|---|---|
| ARP欺骗 | 局域网内 | 同一网段 | 低 |
| DNS欺骗 | 域名解析 | 跨网段 | 中 |
我个人习惯把DNS欺骗叫做「钓鱼的升级版」。因为它不需要你点链接，不需要你下载文件，只要你的设备自动发起DNS查询，攻击就可能成功。
4.4 MITM在VoIP中的位置
好了，现在我们来聊聊最关键的问题：MITM攻击在VoIP系统中到底能做什么？
我画了一张图，帮你理解MITM在VoIP通信中的位置：
从这张图你可以看到，攻击者位于Alice和Bob之间。所有SIP信令和RTP媒体流，都会经过攻击者的机器。这意味着什么？
- 窃听通话内容：RTP流是明文传输的，攻击者可以直接录制通话
- 篡改SIP消息：比如修改SDP中的IP地址，把媒体流重定向到别处
- 劫持会话：攻击者可以发送BYE消息，强行终止通话
- 身份伪造：冒充Alice给Bob打电话，或者冒充Bob接听
个人经验：我在做VoIP渗透测试时，最喜欢用MITM来测试SIP终端的TLS配置。如果终端没有强制使用TLS，那MITM攻击几乎百发百中。记住，SIP over UDP + 明文 = 灾难。
4.5 为什么VoIP特别容易受到MITM攻击？
这个问题我问过很多学员，答案五花八门。其实核心原因就两个：
第一，VoIP协议设计时就没考虑安全。 SIP和RTP都是上世纪90年代设计的协议，那时候互联网还是一片净土。谁也没想到后来会有这么多攻击手段。
第二，VoIP流量特征明显。 SIP使用固定的端口（5060），RTP使用连续的UDP端口。攻击者很容易识别和过滤VoIP流量。
我记得有一次，一个客户问我：「我们用了VPN，是不是就安全了？」我告诉他，VPN只能保护传输过程中的数据，但如果攻击者已经进入了你的局域网，VPN也救不了你。因为MITM攻击发生在网络层以下，VPN的加密在传输层以上，两者不在一个维度。
关键认知：MITM攻击不是VoIP特有的问题，但VoIP的实时性和协议特性，让MITM攻击的破坏力被放大了。一次成功的MITM攻击，可以让整个企业的电话系统瞬间瘫痪。
好了，这一节的内容就到这里。MITM攻击的原理其实不复杂，但它的变种很多。下一节我们会深入讨论具体的攻击工具和实战手法。记住，理解攻击的最好方式，就是亲手搭建一个实验环境去验证。
公众号:蓝海资料掘金营，微信deep3321