T1557: 中间人

摘要

攻击者可能试图使用中间人（AiTM）技术将自己置于两个或多个联网设备之间，以支持后续行为，如[网络嗅探](https://attack.mitre.org/techniques/T1040)、[传输数据操纵](https://attack.mitre.org/techniques/T1565/002)或重放攻击（[为凭据访问而利用](https://attack.mitre.org/techniques/T1212)）。通过滥用可以决定网络流量流向的常见网络协议特性（例如 ARP、DNS、LLMNR 等），攻击者可能强制设备通过攻击者控制的系统进行通信，以便收集信息或执行附加操作。(Citation: Rapid7 MiTM Basics) 例如，攻击者可能操纵受害者 DNS 设置以启用其他恶意活动，如阻止/重定向用户访问合法站点和/或推送额外的恶意软件。(Citation: ttint_rat)(Citation: dns_changer_trojans)(Citation: ad_blocker_with_miner) 攻击者还可能操纵 DNS 并利用其位置来拦截用户凭据，包括访问令牌（[窃取应用程序访问令牌](https://attack.mitre.org/techniques/T1528)）和会话 Cookie（[窃取 Web 会话 Cookie](https://attack.mitre.org/techniques/T1539)）。(Citation: volexity_0day_sophos_FW)(Citation: Token tactics) [降级攻击](https://attack.mitre.org/techniques/T1689)也可用于建立 AiTM 位置，例如通过协商安全性较低、已弃用或较弱的通信协议（SSL/TLS）或加密算法版本。(Citation: mitm_tls_downgrade_att)(Citation: taxonomy_downgrade_att_tls)(Citation: tlseminar_downgrade_att) 攻击者还可能利用 AiTM 位置尝试监控和/或修改流量，例如在[传输数据操纵](https://attack.mitre.org/techniques/T1565/002)中。攻击者可以设置类似于 AiTM 的位置，以阻止流量流向适当的目的地，可能旨在削弱防御和/或支持[网络拒绝服务](https://attack.mitre.org/techniques/T1498)。