你咖啡厅的中间Wi-Fi密码是“12345678”，对吧？人攻别紧张，我只是中间在隔壁桌用一台装了Wireshark的笔记本，花了三分钟就看到了你手机发出的人攻探测帧。那个叫“Free_Coffee”的中间热点，是人攻我用树莓派伪造的。你连上的中间那一刻，你的人攻微信消息、网页浏览记录，中间甚至你输入的人攻密码，都像明信片一样在我眼前摊开。中间

这就是人攻中间人攻击。不是中间电影里黑客敲键盘的炫酷画面，它更像一个沉默的人攻邮差，把你的中间信件拆开，抄录一份，再原封不动地塞回信封。攻击者不直接闯进你的房子，而是站在你和邮局之间，假装成你，又假装成邮局。最可怕的是，整个过程里，你完全察觉不到——邮件正常送达，网页正常打开，一切如常，除了那些被悄悄复制的数据。

我在一次网络安全演练中干过这事。目标是一家公司的财务主管，我伪造了她老板的邮箱域名，发了一封语气急迫的邮件：“供应商账号改了，紧急付款到新账户。”她没怀疑，因为发件人名字确实是她老板，邮箱后缀也一模一样——我用了同形字攻击，把“l”换成了“I”，肉眼根本分不清。她转账后三小时，那笔钱在境外被提走了。事后复盘，她翻来覆去只有一句话：“我以为是老板本人。”

这种攻击最讽刺的地方在于，它利用了我们对“信任”的本能。你信任那个Wi-Fi名字，信任那个熟悉的头像，信任那个语气像同事的陌生人。技术手段反而简单——ARP欺骗、DNS劫持、SSL剥离，都是十几年前就公开的老把戏。但人性这台漏洞百出的机器，从来没打过补丁。

我有个朋友，安全意识算强的，手机装了各种安全软件。他在地铁上连过一次公共Wi-Fi，十分钟后，他微博账号开始发广告。他百思不得其解——明明那个Wi-Fi有密码，而且他只在上面刷了会儿新闻。后来查日志才发现，那个热点是“Wi-Fi万能钥匙”共享出来的，密码早就公开了。攻击者甚至不用破解，只要蹲在同个网络里，用个免费工具就能截获他未加密的HTTP请求。他以为的安全，只是别人懒得动手而已。

说这些不是让你拔网线、砸路由器。我自己也天天用公共网络，只是学会了几个基本动作：见到陌生Wi-Fi先皱眉，输入密码前看一眼地址栏的锁头图标，收到“紧急转账”的邮件先打个电话确认。这些动作不炫酷，但能让你避免成为那个在数据海洋里裸泳的人。

中间人攻击永远不会消失，因为它是人与人之间信息传递的固有缝隙。你要做的不是堵住所有缝隙——那不可能，而是学会在传递重要东西时，走一条自己挖的隧道。哪怕那条隧道简陋，至少你知道，没有别人站在中间。