發表日期:2018-08 文章編輯:小燈 瀏覽次數:2171
今天webview中被檢測出有ssl劫持的危險。
檢測的方法是:
- app連上vpn(流量被引流到某服務器上);
- 在該服務器上使用抓包工具抓包(該抓包工具中內置有權威機構頒發的某ssl證書);
(結合php的curl,相當于只設置了CURLOPT_SSL_VERIFYPEER未1,卻設置CURLOPT_SSL_VERIFYHOST為0 (默認為2 驗證common name是否有值且與當前域名相匹配))
(自簽名證書需要信任的話,結合php的curl,設置CURLOPT_CAINFO(path to Certificate Authority (CA) bundle 文件路徑,默認為系統路徑,文件中可以保存1個或多個用來讓server驗證的證書 )或CURLOPT_CAPATH (保存CA證書的目錄)。(CURLOPT_SSL_VERIFYPEER為1時這兩個參數才有意義))
。安全要求更高的如金融機構,需進行雙向認證,即client驗證server ,server也要驗證client(銀行發給用戶的U盾就是用于雙向認證)結合php的curl,設置CURLOPT_SSLCERT(client端證書地址),CURLOPT_SSLCERTPASSWD(有密碼的話需要設置密碼),CURLOPT_SSLCERTTYPE(client端證書類型,默認為pem)(php的curl只支持pem格式、der、eng格式))
[1]參考了csdn上一篇清晰易懂的博文(點擊前去)[2]
參考文章:
日期:2018-04 瀏覽次數:6844
日期:2017-02 瀏覽次數:3513
日期:2017-09 瀏覽次數:3751
日期:2017-12 瀏覽次數:3597
日期:2018-12 瀏覽次數:4906
日期:2016-12 瀏覽次數:4666
日期:2017-07 瀏覽次數:13712
日期:2017-12 瀏覽次數:3588
日期:2018-06 瀏覽次數:4338
日期:2018-05 瀏覽次數:4520
日期:2017-12 瀏覽次數:3627
日期:2017-06 瀏覽次數:4054
日期:2018-01 瀏覽次數:4022
日期:2016-12 瀏覽次數:3978
日期:2018-08 瀏覽次數:4489
日期:2017-12 瀏覽次數:3797
日期:2016-09 瀏覽次數:6556
日期:2018-07 瀏覽次數:3278
日期:2016-12 瀏覽次數:3298
日期:2018-10 瀏覽次數:3449
日期:2018-10 瀏覽次數:3556
日期:2018-09 瀏覽次數:3646
日期:2018-02 瀏覽次數:3671
日期:2015-05 瀏覽次數:3595
日期:2018-09 瀏覽次數:3379
日期:2018-06 瀏覽次數:3504
日期:2017-02 瀏覽次數:3939
日期:2018-02 瀏覽次數:4407
日期:2018-02 瀏覽次數:4275
日期:2016-12 瀏覽次數:3642
Copyright ? 2013-2018 Tadeng NetWork Technology Co., LTD. All Rights Reserved.