TCP连接建立之后，服务器和客户端就可以互通数据了，可以通过HTTP、FTP、SMTP等等的协议进行各种应用，服务器有通用的服务端口，例如80是HTTP服务，21是FTP服务，25是SMTP服务，这些端则亮口号是通用的。而用户的州丛端口号则是不确定的。所以，客户端需要某种服务时会先访问服务器的某个端口，并且通过TCP建立过程，告知服务器自己的端口号。正如你所说的，黑客可以对客户端伪装成服务器、对服务器伪装成客户端，分别建立TCP连接，然后获取用户和服务器的信息。现在很多钓鱼陷阱就是这样盗取孙迹宽用户帐号、密码的。木马攻击又是另外一回事了，木马主要是把木马程序载入用户
电脑，然后盗取用户信息，当然通过中间人攻击来注入木马是常用的手段。