降级攻击的核心：定义、攻击目标与攻击链

聊了这么多理论，咱们终于要进入攻击实战环节了。

降级攻击——说白了，就是让一个安全的系统，主动去用更弱的安全标准。我刚开始搞TLS协议分析那会儿，总觉得这是理论攻击。直到一次做金融客户的安全审计，我们明明配了TLS 1.3，结果对方服务器握手后只用TLS 1.0。查到最后，是个域前置设备的中间人搞的鬼。嗯，从那以后我就知道这东西有多致命了。

你真的了解降级攻击吗？

降级攻击，英文叫Downgrade Attack。它的本质不是暴力破解，而是协商欺骗。我个人的定义是这样的：攻击者利用客户端和服务端之间的协商机制，诱使双方选择一个比双方都能支持的最高安全级别更弱的选项。

你想想看，TLS协议的设计初衷就是兼容性。客户端说“我支持这些套件”，服务端说“OK我选这个”。攻击者正好钻了这个空子。

攻击目标：他们到底想拿什么？

攻击者的目标很明确，就三个方向。我划分了一下，大家可以看看这张表：

我在项目中遇到过一种很隐蔽的情况：攻击者不直接降版本，而是利用客户端和服务端支持的密码套件列表不对称，把优先度最高的“安全套件”强行移除，推一个中等但匿名的套件。

比如服务端明明支持ECDHE-RSA-AES256-GCM，攻击者偏偏通过握手数据包注入，把椭圆曲线套件标记为无效，逼双方走DHE-RSA-AES128-CBC。虽然也是AES，但CBC模式的风险，你们懂的。

攻击链：一步一步是怎么走的？

降级攻击不是一蹴而就的，它有一套标准流程。我习惯把这个过程称为“攻击链”，总共五个关键环节。

1. 侦察与准备——攻击者先收集目标信息：服务端支持的套件列表、是否支持RFC 7507回退指示、是否存在降级SCSV标记。说白了，先摸底。
2. 拦截ClientHello——中间人抓获客户端发起的第一次握手请求。这时候攻击者会篡改ClientHello中的密码套件列表，把高安全的套件全部删掉。
3. 投递降级后的消息——攻击者将修改后的ClientHello发给服务端。服务端不知道这个消息被动过手脚，就开始走正常协商流程。
4. 选择不安全套件——服务端从剩下的（其实就是攻击者塞的）列表中，选一个它能支持的、最安全的…但已经被攻击者捆着手脚了，最多选个中等安全的。
5. 持续监听与解密——一旦握手完成，攻击者手里的弱套件参数（比如RSA公钥）就能提前预破解或直接干涉对称密钥生成。接下来的通信，基本全透明。

为了让你更直观地理解，我画了一张攻击流程图。这里要注意，攻击者不是直接破解TLS，而是通过篡改来“引导”双方自己走入陷阱。

攻击链中的细节坑

这个攻击链看着简单对吧？但实际操作时，有好多细节。我曾经在一场渗透测试中复现这个流程，结果发现两个坑：

第一，版本号问题。如果服务端明确在ServerHello中标记了降级保护（比如TLS 1.2的SCSV），那攻击者篡改Hello后，服务端会直接拒绝握手。这时候攻击者要额外去掉SCSV标记，手段很脏。

第二，套件顺序。攻击者不是随便删，而是只删高安全套件，保留中等套件，否则协商失败。我记得有一次因为删得过猛，导致服务端直接返回No shared cipher，握手失败，攻击断了。

常见的降级攻击类型

降级攻击有很多变体，我这边整理了几个典型。了解它们的区别，对你的检测方案设计会有帮助。

嗯，看到这些名字别慌。你只需要记住一个核心逻辑：降级攻击的本质是利用了握手协商中的不对称信任。攻击者充当了那个“嚼舌头”的中间人。

我个人习惯把这些攻击按降级方式分成两类：

• 主动降级——攻击者必须在线篡改握手包，像Logjam、FREAK。这类攻击可检测性较高。
• 被动降级——攻击者只是诱导客户端或服务端自己主动回退，比如POODLE利用浏览器自动重试降版机制。这类攻击更隐蔽，因为你很难区分正常回退和恶意触发。

好了，这章就是把降级攻击的“骨架”给你搭起来了。有了这个框架，接下来我们再深入具体检测手段时，你心里就有底了。学安全这个，得先把攻击者的思路盘顺，才谈得上防御。