SSL/TLS 協議是網路通訊安全的基石，但 SSLstrip 這類中間人攻擊工具的出現，嚴重威脅 HTTPS 保護下的敏感資料安全。本文深度剖析其攻擊鏈條，並提供系統性防禦方案。
SSLstrip 攻擊核心原理：HTTPS 降級劫持
攻擊者不直接破解加密，而是強迫受害者在不知情下使用 HTTP 明文傳輸：
- 開啟路由轉發：攻擊機啟用 IP 轉發（
echo 1 > /proc/sys/net/ipv4/ip_forward），使流量經由攻擊機。
- ARP 欺騙攔截流量：向區網廣播偽造 ARP 封包，冒充閘道器 MAC 地址，迫使受害者流量經過攻擊機。
- HTTPS 連結降級替換：攔截受害者 HTTP 請求中的 HTTPS 連結（如
https://bank.com/login），替換為 HTTP（https://bank.com/login），並記錄被替換的連結映射。
- 建立雙向代理通道：
- 受害者 ↔ 攻擊機：建立 HTTP 連線（受害者以為在訪問 HTTPS 網站）
- 攻擊機 ↔ 真實伺服器：建立真正的 HTTPS 連線
- 透明代理竊取資料：受害者提交的帳號、密碼、Token 等敏感資訊以明文經過攻擊機，攻擊機轉發加密給伺服器。受害者瀏覽器地址欄顯示 HTTP，但攻擊機可偽造鎖頭圖示欺騙用戶。
- 全過程對雙端透明：受害者以為直連伺服器，伺服器以為直連受害者，實則所有明文流量盡在攻擊者掌控中。
攻擊工具特徵
- 版本：0.2 及衍生版本
- 運行環境：Linux（Kali、Ubuntu 等）
- 核心依賴：系統路由轉發、iptables 連接埠重導向（REDIRECT 規則）
- 常搭配：
arpspoof、ettercap、bettercap 實施 ARP 欺騙
多層次防禦體系
1. 客戶端/用戶層防禦（最關鍵）
- 強制 HTTPS (HSTS)：瀏覽器預載 HSTS 清單，或網站部署
Strict-Transport-Security 標頭，強制瀏覽器僅用 HTTPS 連線，徹底杜絕降級。
- 驗證憑證指紋/公鑰釘選 (HPKP)：**雖 HPKP 已棄用，但可透過 Certificate Transparency 日誌監控、Expect-CT 強化驗證。
- 瀏覽器安全習慣：關注地址欄鎖頭圖示與域名，拒絕訪問憑證錯誤、混合內容警告的網站；使用
HTTPS Everywhere 擴充套件。
- 避免公共 Wi-Fi 敏感操作：或使用可信 VPN/SSH 隧道加密全鏈路流量。
2. 伺服器端防禦
- 全站啟用 HTTPS + HSTS：預載至瀏覽器 HSTS 清單（
hstspreload.org）。
- 安全 Cookie 標記：設定
Secure、HttpOnly、SameSite=Strict 屬性。
- 啟用 OCSP Stapling、Certificate Transparency。
- 部署 CSP (Content Security Policy) 防範混合內容。
3. 網路/主機層防禦
- 動態 ARP 檢測 (DAI) / IP Source Guard：交換機層面防範 ARP 欺騙。
- 靜態 ARP 綁定：關鍵設備（閘道、伺服器）配置靜態 ARP 表項。
- 主機防火牆/EDR 監控：偵測異常路由轉發、ARP 流量、
iptables 規則變更。
- 網路分段與 802.1X 認證：限制區網橫向移動。
4. 應用層防禦
- 重要操作（登入、支付、改密）強制雙因子認證 (2FA/MFA)，即使密碼洩露也無法直接利用。
- 採用 WebAuthn/FIDO2 硬體金鑰，抵抗釣魚與中間人攻擊。
總結
SSLstrip 利用的是「用戶習慣輸入域名不帶 https://」與「瀏覽器預設允許 HTTP 降級」的信任鏈斷層。單一防禦手段皆可被繞過，唯有「全站 HSTS 預載 + 用戶安全意識 + 網路層 ARP 防護 + 應用層 MFA」的纵深防禦，才能有效化解此類攻擊。 定期進行滲透測試驗證防禦有效性，是企業與開發者的必修課。
