攻擊者突破企業防線最短路徑：利用「瀏覽器中間人」(MitB) 攻擊在員工瀏覽器建立隱蔽隧道。Zeus/SpyEye 木馬控制瀏覽器修改頁面內容/交易數據，用戶零感知。針對虛擬鍵盤的截屏破解技術更將防禦門檻推向新高度。
MitB 攻擊全鏈路剖析
- 誘騙訪問：惡意軟體（駭客網頁/釣魚郵件/水坑攻擊）引誘用戶訪問
- 瀏覽器注入：Hook 瀏覽器核心 API（DOM、網絡請求、加密操作）
- 隱蔽篡改：修改頁面 DOM、攔截表單提交、竊取憑證/賬號/金融信息
- 數據外洩：加密上傳至 C&C，繞過 DLP/防火牆/代理審計
Zeus 2.0 破解虛擬鍵盤技術細節
Citrix 部署虛擬鍵盤防鍵盤記錄器。Zeus 2.0 代碼邏輯：
@ // 滑鼠左鍵點擊時
*/citrix/* // 當瀏覽器地址欄包含此字串
→ 捕獲滑鼠指針周圍螢幕截圖
→ OCR 識別點擊按鍵序列
→ 重構用戶輸入密碼
原理：虛擬鍵盤按鍵隨機佈局，但點擊瞬間按鍵字符在滑鼠指針鄰域可見。截圖 + OCR 即可破解。
現代 MitB 變種能力矩陣
| 能力 |
典型實現 |
檢測難度 |
| 表單劫持/注入 |
WebInjects 配置文件定義目標站點/注入邏輯 |
中 |
| 單點登錄/VPN/雲服務憑證竊取 |
Hook 瀏覽器儲存管理器、Cookie 存儲 |
高 |
| 雙因子繞過 |
即時轉發 OTP/推送確認、會話劫持 |
極高 |
| 反分析/反虛擬化 |
環境檢測、代碼混淆、加密載荷 |
極高 |
| 持久化 |
瀏覽器擴充/用戶腳本/Service Worker/登錄啟動項 |
中高 |
企業級防禦四層架構
第 1 層：瀏覽器原生強化（零成本、高覆蓋）
- 啟用 Enhanced Safe Browsing / SmartScreen
- 強制 CSP、SRI、Trusted Types、COOP/COEP 隔離策略
- 禁用不必要擴充、插件、ActiveX、舊版 Edge/IE 模式
- 企業策略管控：Chrome Enterprise Policies / Edge Group Policies
第 2 層：端點運行時防護（EDR/MTD/RASP）
- 行為監控：瀏覽器進程異常注入、記憶體掃描、API Hook 檢測
- 瀏覽器隔離：遠程瀏覽器隔離 (RBI)，將渲染移至雲端容器
- 應用控制：僅允許簽名驗證通過的瀏覽器版本運行
第 3 層：網關/網絡層可見性
- SSL/TLS 解密檢測（必須，否則 90%+ 威脅隱形）
- 威脅情報聯動：惡意域名/IP/URL 實時阻斷
- DNS 防火牆/沉洞：阻斷 C&C 解析
- 流量行為分析：異常上傳、信標通訊、數據外洩模式
第 4 層：身份與存取零信任
- FIDO2/WebAuthn 硬體密鑰：防釣魚、防重放、防 MitB
- 持續自適應認證：設備健康、位置、行為風險評分動態調整
- 會話綁定：設備指紋/憑證綁定，異常即撤銷
- 特權存取管理 (PAM)：管理員操作全程錄像、雙人授權
關鍵認知：MitB 無銀彈，唯有纏深度防御
瀏覽器是現代企業最核心的業務終端，也是最大攻擊面。將瀏覽器安全從「邊緣關注」提升為「核心戰略」，投入專責團隊、預算、工具鏈，構建「預防-檢測-響應-預測」閉環，才能在 MitB 級威脅下守住數據命脈。