例4.中间人攻击
为了帮助读者理解中间人攻击，我们举一个现实例子。罪犯冒充公安人员给受害者打电话，说有人利用用户的网络银行帐号进行洗钱活动，公安机关要求该用户协助调查，给出其帐号的具体信息，包括密码。如果用户上当，交出了密码等信息，那么犯罪分子就可以利用这些信息洗劫账户内的资金。这就是一种典型的中间人攻击。
下面是一个Web环境下的中间人攻击示意图。
图1 中间人攻击示意图
首先，在IE浏览器的地址栏输入登录地址，如下图所示：
图2 登录网络银行
然后，利用代理篡改返回的数据包，让它返回502错误（或其他错误），并插入一个iframe，让浏览器请求真实地址，同时插入一段如下所示的脚本：
图3 插入的脚本
这样就能读取iframe的内容，如下图所示：
图4 读取的iframe内容
实际上，攻击者不仅能够读取该iframe的内容，还能够向该域进行提交。在真实的攻击环境中，攻击者可以读取防止跨站请求伪造令牌，实施跨站请求攻击，甚至截获用户名和密码。
