检测中间人攻击？

Question

通过使用 ARP 欺骗窃取访问点的本地 IP 地址，似乎有许多可能的方法可以对公共访问点创建中间人攻击。可能的攻击范围从伪造密码请求字段到将 HTTPS 连接更改为 HTTP，甚至最近发现的在安全 TLS 连接的开头注入恶意标头的可能性。

然而，似乎声称这些攻击并不常见。亲眼看看会很有趣。有什么方法可以检测网络上的某个人是否正在尝试这种攻击？

我想获得一个简单的 HTTP 登录页面将是一个明显的线索，当然你可以运行 Wireshark 并继续阅读所有有趣的 ARP 流量......但是自动化的解决方案会更方便一些。分析后台内容并在网络上检测到攻击时发出警报的东西。亲眼看看这些攻击是否真的发生在某个地方会很有趣。

Answer 1

无法检测任意 MITM，因为有多种技术可以执行它们。

然而，大多数针对以太网或 WLAN 的 MITM 攻击使用ARP 欺骗来重定向流量。有一些工具可以检测 ARP 欺骗，这些应该表明大多数 MITM 攻击。一些工具参见例如维基百科页面。