![]() | 1 cielpy 2017-03-06 16:28:22 +08:00 可以找篇 HTTPS 的原理介绍看看 |
2 DoraJDJ 2017-03-06 16:34:53 +08:00 via Android 中间人攻击 很多针对 HTTPS 的中间人都是自己签的证书,默认不会被信任 |
![]() | 3 senghoo 2017-03-06 16:41:50 +08:00 大部分 http 劫持是在旁路听包。然后发送伪造的 302 重定向来实现的。 如果用 https ,旁路听包时候无法分析出请求的 url 等信息。也就无法劫持。 对于 DNS 劫持或者直接路由级别劫持,配合 HSTS 强制客户端使用 HTTPS ,至少在用户访问劫持网页的时候显示 HTTPS 证书非法的警告信息。 |
![]() | 4 tony1016 2017-03-06 16:41:59 +08:00 DNS 劫持 |
![]() | 5 ETiV 2017-03-06 16:48:06 +08:00 上了 HTTPS 后的某天, LZ 公司的网站被 DDoS 打了。 老板找来 LZ :不是说防劫持吗? |
10 BOYPT 2017-03-06 17:02:01 +08:00 最近很多 https 科普帖啊, 搜一下给老板看区 |
11 morethansean 2017-03-06 17:06:01 +08:00 防啊,当然防了,推动很多网站加快 https 进程的原因就是越演越烈没有好转迹象的运营商劫持…… |
![]() | 12 Technetiumer 2017-03-06 17:13:06 +08:00 ![]() HTTP 是邮寄明信片,邮递员(运营商)可以任意监听和篡改,也可以直接换掉明信片 HTTPS 是邮寄保险箱,邮递员(运营商)拆不开保险箱无法监听和篡改,如果邮递员(运营商)偷偷换掉整个保险箱,收件方能识别这是假的并拒收 |
13 yuhr123 2017-03-06 17:28:31 +08:00 @Technetiumer 你举的例子简洁明了,谢谢! |
14 eirk2004 2017-03-07 10:59:56 +08:00 SSLStrip ,如果用户不太警觉,不会察觉到 https 已降级为 http 。不过大部分劫持发生在最后 500 米的线路上,对付这些设备还是挺有效的(小区、写字楼等电信只提供接入,由第三方维护线路) |
![]() | 15 HTTPS198 2018-03-21 16:28:36 +08:00 有 HTTPS 可以篡改,防跳转 |
16 mashangdenglu 2020-05-12 17:30:47 +08:00 |