4.2.4 客户端借道法

在本章中,我们把大部分的精力花在描述窃取或者猜测用户凭据供攻击者使用的途径上。那么如果攻击者通过借用合法验证的会话,让用户承担这些繁重的工作会如何呢?这种技术可能是绕过我们目前所描述的所有验证机制的最简单方法,而且所花费的精力少得令人吃惊。在本章前面的部分,我们引用了Bruce Schneier关于这个主题的一篇论文,他在论文中提到,中间人攻击和最终用户机器上安装的恶意软件能够有效地绕过几乎所有远程网络验证方式(你可以在本章结尾处的“参考与延伸阅读”小节中找到这篇论文的链接)。我们将在第9章中详细描述一些这种方法,但是我们认为在本章结束之前提出这一点是很重要的。