中间人攻击 — DNS 管家

最后更新：2026年8月20日

中间人攻击模块是 DNS 管家的 HTTP(S) 流量拦截与改写引擎。通过加载 YAML 格式的模块配置，您可以对指定域名的 HTTP 请求和响应进行 URL 重写、Header 修改、Mock 响应和 JavaScript 脚本注入。

一、工作原理

DNS 管家通过 VPN 隧道捕获设备流量，对非 DNS 的 TCP 连接进行协议检测：

TLS 流量：从 ClientHello 中提取 SNI 域名，与模块的 hostname 列表匹配
HTTP 流量：从请求行中提取 Host header，与模块的 hostname 列表匹配
匹配成功：进入 MITM 管线处理，对请求/响应进行改写
不匹配：透明转发，零开销

对于 HTTPS 流量，DNS 管家会在本地生成 CA 证书并动态签发叶证书，实现 TLS 终止。您需要先在系统设置中安装并信任 CA 证书。

二、模块格式

模块使用 YAML 格式定义，包含以下字段：

完整示例

name: "我的模块"
desc: "一个示例模块"
hosts:
  - "*.example.com:443"
  - "api.test.com:*"
urls:
  - name: "拦截广告"
    pattern: "^https?://ad\\.example\\.com"
    replacement: ""
    action: "reject"
  - name: "旧地址跳转"
    pattern: "^http://old\\.example\\.com/(.*)"
    replacement: "https://new.example.com/$1"
    action: "302"
headers:
  - name: "添加 DNT"
    direction: "request"
    pattern: "^https://api\\.example\\.com"
    action: "add"
    header: "DNT"
    value: "1"
  - name: "删除 Cookie"
    direction: "request"
    pattern: "^https://api\\.example\\.com"
    action: "del"
    header: "Cookie"
mocks:
  - name: "Mock JSON"
    pattern: "^https?://mock\\.test\\.com/json"
    type: "text"
    data: '{"mocked": true}'
    status: 200
    headers:
      - ["Content-Type", "application/json"]
scripts:
  - name: "签名注入"
    pattern: "^https?://api\\.test\\.com"
    source: |
      function onRequest(req) {
          req.headers["X-Sign"] = "abc123";
      }
      function onResponse(req, resp) {
          resp.headers["X-Test"] = "yes";
      }

字段说明

name：模块名称，用于显示和日志
desc：模块描述（可选）
hosts：MITM 域名匹配列表，支持通配符和端口
urls：URL Rewrite 规则列表（可选）
headers：Header Rewrite 规则列表（可选）
mocks：Mock 响应规则列表（可选）
scripts：JavaScript 脚本列表（可选）

三、域名匹配规则

hosts 字段控制哪些域名会被 MITM 拦截：

example.com — 不指定端口，匹配该域名所有端口
example.com:443 — 只匹配 443 端口
example.com:* — 通配端口，匹配所有端口
*.example.com — 通配子域名（匹配 api.example.com，不匹配 example.com）

四、URL Rewrite

通过正则表达式匹配 URL 并执行重写操作。所有 URL 规则均使用正则匹配，replacement 字段支持 $1、$2 等捕获组引用。

支持的 Action

transparent — 透明改写 URL 和 Host，客户端无感知
302 — HTTP 302 重定向到新地址
307 — HTTP 307 重定向（保持请求方法不变）
reject — 返回 404 + 空 body
reject-200 — 返回 200 + 空 body
reject-img — 返回 200 + 1px 透明 GIF
reject-dict — 返回 200 + {}
reject-array — 返回 200 + []

示例

urls:
  - name: "广告拦截"
    pattern: "^https?://ad\\.example\\.com"
    replacement: ""
    action: "reject"

  - name: "重定向"
    pattern: "^http://old\\.example\\.com/(.*)"
    replacement: "https://new.example.com/$1"
    action: "302"

  - name: "透明改写"
    pattern: "^https?://example\\.com/transparent(.*)$"
    replacement: "https://httpbin.org/get$1"
    action: "transparent"

五、Header Rewrite

对 HTTP 请求或响应的 Header 进行修改，支持请求阶段和响应阶段分别配置。

支持的 Action

add — 追加 Header（即使已存在也追加）
del — 删除指定 Header
replace — 替换 Header 值（不存在则不操作）
replace-regex — 正则替换 Header 值（需配合 search 和 replacement）

字段说明

direction：改写方向，request（请求阶段）或 response（响应阶段）
pattern：URL 匹配正则
header：目标 Header 名称
value：Header 值（add/replace 用）
search：搜索正则（replace-regex 用）
replacement：替换文本（replace-regex 用）

示例

headers:
  - name: "添加请求头"
    direction: "request"
    pattern: "^https://api\\.example\\.com"
    action: "add"
    header: "DNT"
    value: "1"

  - name: "删除 Cookie"
    direction: "request"
    pattern: "^https://api\\.example\\.com"
    action: "del"
    header: "Cookie"

  - name: "正则替换 UA"
    direction: "request"
    pattern: "^https://api\\.example\\.com"
    action: "replace-regex"
    header: "User-Agent"
    search: "Safari"
    replacement: "Chrome"

  - name: "注入响应头"
    direction: "response"
    pattern: "^https://api\\.example\\.com"
    action: "add"
    header: "X-Injected"
    value: "yes"

六、Mock 响应

根据 URL 正则匹配返回静态响应，无需请求上游服务器。适合调试和 Mock API。

支持的类型

text — 纯文本内容
base64 — Base64 编码的二进制内容
empty — 空内容

字段说明

pattern：URL 匹配正则
type：内容类型（text / base64 / empty）
data：内容数据（empty 类型可省略）
status：HTTP 状态码（默认 200）
headers：自定义响应 Header

示例

mocks:
  - name: "Mock JSON"
    pattern: "^https?://mock\\.test\\.com/json"
    type: "text"
    data: '{"mocked": true}'
    status: 200
    headers:
      - ["Content-Type", "application/json"]

  - name: "空响应"
    pattern: "^https?://mock\\.test\\.com/empty"
    type: "empty"
    status: 204
    headers: []

七、JavaScript 脚本

使用内置 JS 引擎执行脚本，支持 onRequest 和 onResponse 两个生命周期钩子。脚本可读取和修改请求/响应的 URL、Method、Headers 和 Body。

脚本 API

function onRequest(req) {
    // req.url     — 请求 URL (可修改)
    // req.method  — 请求方法 (可修改)
    // req.headers — 请求头对象 (可增删改)
    // req.body    — 请求体 Uint8Array 或 null (可修改)

    req.headers["X-Sign"] = "abc123";

    // 返回 undefined → 继续 (可携带修改)
    // 返回 "continue" → 继续
    // 返回 "reject" → 阻断请求 (404)
    // 返回 "reject-200" → 阻断请求 (200)
    // 返回 "reject-dict" → 阻断请求 (200 + {})
    // 返回 "reject-array" → 阻断请求 (200 + [])
    // 返回 "reject-img" → 阻断请求 (200 + 1px GIF)
    // 返回 { status, headers, body } → 短路响应
}

function onResponse(req, resp) {
    // req       — 原始请求对象 (只读)
    // resp.status  — 响应状态码 (可修改)
    // resp.headers — 响应头对象 (可增删改)
    // resp.body    — 响应体 Uint8Array 或 null (可修改)

    resp.headers["X-Test"] = "yes";
    resp.status = 204;
}

返回值约定

undefined / 无 return — 继续请求，自动提取对 req/resp 的修改
"continue" — 同上
"reject" 系列 — 阻断请求，返回对应类型的拒绝响应
{ status, headers, body } — 短路响应，直接返回给客户端

Body 处理策略

无脚本匹配时，Body 流式透传，零拷贝，内存占用 O(1KB)
有脚本匹配时，自动缓冲 Body：请求体上限 1MB，响应体上限 5MB
Body 超限时跳过脚本执行，但仍正常转发到上游
通过引用比较检测 Body 是否被修改，未修改则保持流式

示例

scripts:
  - name: "签名注入"
    pattern: "^https?://api\\.test\\.com"
    source: |
      function onRequest(req) {
          req.headers["X-Sign"] = "abc123";
          // 读取 Body 判断是否拒绝
          if (req.body && req.body[0] === 72) {
              return "reject";
          }
      }

  - name: "响应替换"
    pattern: "^https?://api\\.test\\.com"
    source: |
      function onResponse(req, resp) {
          return {
              status: 200,
              headers: { "Content-Type": "application/json" },
              body: new Uint8Array([123, 125])  // {}
          };
      }

八、处理管线

每个 HTTP 请求按以下 9 个阶段依次处理，短路阶段会直接返回响应：

Stage 1 — Mock：正则匹配 URL，命中则返回静态响应
Stage 2 — URL Rewrite reject：命中 reject 规则则返回拒绝响应
Stage 3 — URL Rewrite 302/307：命中重定向规则则返回重定向
Stage 4 — URL Rewrite transparent：透明改写 URL 和 Host
Stage 5 — Header Rewrite (request)：修改请求 Headers
Stage 6 — JS onRequest：脚本可短路、修改请求
Stage 7 — 上游转发：构建 HTTP 请求转发到目标服务器
Stage 8 — Header Rewrite (response)：修改响应 Headers
Stage 9 — JS onResponse：脚本可替换响应

九、CA 证书

对 HTTPS 流量进行 MITM 需要 CA 证书。DNS 管家会在首次使用时自动生成 Root CA 证书（10 年有效期），并为每个域名动态签发叶证书（90 天有效期）。

在首页点击「中间人攻击」卡片进入「模块」页面，在 CA 证书区域点击「安装证书」
应用会将证书文件保存到文件管理，在系统弹窗中选择该文件完成安装
在系统设置中信任该 CA 证书
CA 证书会持久化存储，重装应用后保持不变
点击「重新生成」会删除旧 CA 并生成全新的，需重新安装
如果客户端拒绝证书（证书扎钉），该域名会自动加入放行列表，后续透明转发

十、模块订阅

除了导入本地模块外，您还可以通过 URL 订阅远程模块：

在首页点击「中间人攻击」卡片进入「模块」页面
点击右上角 + 按钮，选择「导入本地模块」或「订阅远程模块」
导入本地模块时选择 .yaml / .yml 格式的模块文件
订阅远程模块时输入模块的 YAML 文件 URL（https:// 或 http:// 开头）
点击「订阅」，模块会自动下载并加载，名称和描述从文件内容自动提取
可随时更新或删除已导入的模块

十一、注意事项

MITM 功能仅在加载了至少一个模块时生效，无模块时所有 TCP 流量透明转发
只有 hosts 列表中匹配的域名才会被拦截，其他域名不受影响
URL Rewrite 和 Mock 规则使用正则表达式匹配，请注意转义特殊字符
JavaScript 脚本在独立线程执行，设有循环次数限制（100 万次），不会阻塞网络
对 HTTPS 的 MITM 需要安装并信任 CA 证书，否则 TLS 握手会失败
某些 App 使用证书扎钉（Certificate Pinning），可能拒绝 MITM 证书，该域名会自动加入放行列表
Body 超过大小限制（请求 1MB / 响应 5MB）时会跳过脚本执行，但流量仍正常转发

十二、联系我们

如您在使用过程中遇到问题，请通过以下方式与我们联系：

官方邮箱：[email protected]