读后笔记之《[科普文] 什么是网络流量劫持？揭秘详解黑客劫持的攻击手段与防御方法》

最近在整理个人的文件，把曾经写的的文章上传在这，权当做是云备份了。

电脑上显示这篇文章的最后修改时间是2014年11月11日，有种莫名的注孤生的节奏呀。

---------------------------------------------------------我是分割线-----------------------------------------------------------------------------------------------

进入路由器后台后，刷固件，自动破解其他的无线网路，破解后自动进入后台，自动给它升级自己的固件……
    流量劫持是一种古老的网络攻击手段。

我会被劫持吗？
    流量劫持面前，人人平等，网络安全与众不同，网络是各种设备组合的整体，木桶效应尤为明显。

攻击方式之上古时代：
    Hub 嗅探：集线器（Hub）唯一的功能室广播数据包。配置好过滤器便可获取各种数据。唯一可用之处是旁路嗅探。
        防范措施：赶紧扔了
    MAC 物理地址欺骗：交换机会绑定MAC地址和接口，数据只发往一个终端。交换机的默认模式——自动学习会根据某个接口发出的包，自动关联该包的源地址到此接口。如果伪造网关地址，出站流量会到该包的源地址，除非有其他的出站渠道，将窃取的数据代理出去，否则别想再转发给真网关。此招可以瞬间集体断网。
        防范措施：尽量绑定MAC和接口。独立的子网段尽可能分VLAN。
    MAC 冲刷：不停 伪造不重复的源地址，填满交换机的记录表，甚至覆盖原有的学习记录，进而导致用户的数据包无法正常转发，只能广播到所有接口
        防范措施：还是MAC和接口绑定。限制一个接口关联的MAC地址数量。

    ARP 攻击：ARP就是广播查询某IP对应的MAC。链路层只能通过MAC地址通讯。如果冒充回复，IP被解析到错误的地址，之后所有通讯都被劫持了。
        防范措施：路由器带防ARP攻击功能；客户端的ARP防火墙；强制绑定IP与MAC的对应。

    DHCP 钓鱼：用户暂时使用无效地址（0.0.0.0），将DHCP询问包发到广播地址（255.255.255.255）上，如果存在多个DHCP服务器，则分别予以回复，用户则选择最先收到的。若用户收到的回复包是黑客发出的，那用户……
        防范措施:手动配置；严格控制DHCP回复的权限，只有特定接口方有资格。

    DNS 劫持：作为网路层的服务，一旦遭到入侵，所有用户都倒霉。DNS服务被黑客控制后，用户发起的各种域名解析都被暗中操作，正常网站解析成黑客服务器的IP,并事先开启HTTP代理，用户还是能正常上网，并几乎看不出任何破绽；但所有流量都就由黑客的代理服务器收发，黑客可轻易信息。
    DNS服务器有通常有较高的安全防护，入侵绝非易事，不过DNS程序存在设计漏洞，黑客可控制某些域名的指向，如DNS缓存投毒。
    公网上的DNS劫持很少发生，但家用路由器的DNS劫持泛滥成灾。
        防范措施：手动设置一些权威DNS服务器，如谷歌的8.8.8.8,4.4.4.4。

    CDN 入侵：CDN本身是一种良性DNS劫持，让DNS主动配合，把域名解析到临近的开通HTTP代理的服务器上。只劫持静态资源访问，缓存之前用户访问过的资源，进而提高速度。但有缓存的地方就是危险之地，遭到入侵后，网页被注入脚本，可执行文件被感染很危险。
        防范措施：换一个第三方不带加速的DNS

中世纪：
    路由器弱口令：默认密码很弱
        防范措施：路由器密码不得轻视，

    路由器 CSRF:CSRF（跨站请求伪装）是cross-site reuest forgery的缩写，通过伪装来自信任用户的请求来利用受信任的网站。
        防范措施：看好路由器密码，定期检查

    PPPoE钓鱼：在拨号之前，终端之间时刻是畅通的，只不过不拨号就没法得到IP、网关等，即使强制把包发给网关，网关虽然能收到，但没有认证会话是不予理睬的。
    不少小区是一个局域网，然后合并到一个大的城域网里。类似于DHCP协议，PPPoE协议也通过广播来寻找有哪些可用的终端，整个小区内网用户都能收到；同时探寻包一直往上冒泡，直到被城域网的终端收到，然后开始纷纷回应。如果有人私自开启一个PPPoE终端服务，便可骗到用户。
    可以用短路网线，来一次集体掉线；MAC欺骗，伪造终端服务器的MAC地址，吸过来小区用户的数据；    PPPoE使用的是一种隧道方式，将任何数据都封装在其栈下，因此捕捉懂啊用户任意一个包，即可得到PPPoE栈上的会话ID，然后冒充终端发送断开连接的指令；ID只有2字节，可以用拨号断开的请求包把ID遍历一遍；PPPoE多用明文传输用户名和密码。
        防范措施：尽量不要装以太网接入的宽带；管理员严格限制PPPoE搜寻回复包，只允许WAN口出现回复包；绑定会话ID，用户MAC，小区VLAN-ID关系即可。

    蜜罐代理：VPN需要用户密码及各种认证，中途劫持几乎是不可能的，但数据仍要在服务端还原出真实内容。黑客有可能布下蜜罐代理。
        防范措施：不贪图小便宜

工业时代：
    WiFi弱口令：WPA2如今成为无线网络标准加密算法，传统爆后台的方式已不再合适。和拨号不同，WiFi用户需先关联热点，以建立物理通道。WiFi在认证前也通过明文数据通讯，但只是认证数据包明文（保存密钥初始化相关的数据）而已。通过嗅探工具，WPA2破解工具和丰富的密码字典，可攻破一部分无线网络。
        防范措施：密码中加特殊符号。
    WiFi热点钓鱼：系统会将同名（SSID）热点合并成一个，连接时自动选择信号最好的那个。热点每时每刻广播着Beacon的数据包，里面有热点明等相关信息，用户网卡收集后进行筛选。可以开一个同名同认证的伪热点钓鱼。这是底层协议栈的弱点。
        防范措施：如果热点固定，可以使用WiFi定位监控热点位置；只用接入认证。
    WiFi强制断线：冒充热点，向所有用户广播注销包，下线所有用户。不过仅仅是认证被注销，用户和热点还是关联着的，用户尝试重新发起认证，可以趁机获得握手数据包。
    如果广播持续不断，用户一直无法上网，对方可能会重启路由器，但仍未解决问题，就会尝试恢复出厂设置。根据国产路由器的风格，可以乘此短暂机会，立即连上爆入后台直接秒杀。
    当然为防止他进入路由器改密码，应立即隐藏SSID，禁止Beacon发出，只能通过BSSID连接，同时建立一个钓鱼热点。在蜜罐里开启一个和路由器页面相似的站点（可以直接反向代理他的路由器的页面）拖住用户，有些设备不让轻易更新固件，可以在蜜罐站点中诱使他进行相关的认证。
        防范措施：不要轻易恢复出厂设置

    WLAN基站钓鱼：可以用无线网卡，手机开个与运行商WLAN同名的热点。
        防范措施：WiFi不用就关了吧，长期不用的连接记录删了吧。

二