一区二区三区欧美日韩-一区二区三区欧美-一区二区三区免费在线视频-一区二区三区免费在线观看-久久精品店-久久精品第一页

歡迎您光臨深圳塔燈網絡科技有限公司!
電話圖標 余先生:13699882642

網站百科

為您解碼網站建設的點點滴滴

ssl劫持問題

發表日期:2018-08 文章編輯:小燈 瀏覽次數:2171

ssl劫持問題
2018-08-14 10:39:33
ssl證書

今天webview中被檢測出有ssl劫持的危險。
檢測的方法是:

  1. app連上vpn(流量被引流到某服務器上);
  2. 在該服務器上使用抓包工具抓包(該抓包工具中內置有權威機構頒發的某ssl證書);
  • 結果:在抓包工具中能看到app中webview發給web服務器的明文請求數據;
  • 原因分析:webview中只設置了檢驗證書,未設置檢驗證書持有者的common name與請求的域名是否一致
    (結合php的curl,相當于只設置了CURLOPT_SSL_VERIFYPEER未1,卻設置CURLOPT_SSL_VERIFYHOST為0 (默認為2 驗證common name是否有值且與當前域名相匹配))
  • 解決方式,既驗證ssl證書的權威性又需驗證證書的common name與請求地址相匹配(自簽名證書需要信任的話,結合php的curl,設置CURLOPT_CAINFO(path to Certificate Authority (CA) bundle 文件路徑,默認為系統路徑,文件中可以保存1個或多個用來讓server驗證的證書 )或CURLOPT_CAPATH (保存CA證書的目錄)。(CURLOPT_SSL_VERIFYPEER為1時這兩個參數才有意義))。安全要求更高的如金融機構,需進行雙向認證,即client驗證server ,server也要驗證client(銀行發給用戶的U盾就是用于雙向認證)結合php的curl,設置CURLOPT_SSLCERT(client端證書地址),CURLOPT_SSLCERTPASSWD(有密碼的話需要設置密碼),CURLOPT_SSLCERTTYPE(client端證書類型,默認為pem)(php的curl只支持pem格式、der、eng格式)) [1]
    有另外幾個配置我不清楚在什么情況下需要設置:CURLOPT_SSLKEYTYPE:(私鑰類型,默認為pem),CURLOPT_SSLKEY(私鑰存放路徑),CURLOPT_KEYPASSWD(私鑰密碼),

由此問題,簡單了解一下ssl劫持的常見方法:

參考了csdn上一篇清晰易懂的博文(點擊前去)[2]

  1. 引流(ARP欺騙、DNS欺騙、瀏覽器數據重定向等方式)
    • 對于使用瀏覽器的用戶:
      • 瀏覽器會提示用戶,該證書有問題并非權威機構頒發,但同時顯示該證書在有效期內,該證書名稱與用戶請求的網頁地址匹配,詢問用戶是否繼續;
      • 若用戶點擊繼續,則用戶的client端與冒充真正服務器的Middleman建立了連接,Middleman能夠看到并修改用戶發送給Server的信息,同時也可以冒充用戶向真正的Server發請求,也能看到并修改Server給用戶的返回。
    • 對于webview的用戶,則需要app進行相應設置,既校驗證書的權威性、有效性又校驗證書的name存在且與請求的地址匹配。
      可參考阿里云的一篇文章(點擊前去
    • 對于 存在http跳轉到https的網站,Middleman將Server返回的302狀態碼的response內容進行替換(主要有消息頭中的location的https替換為http,并指定Middleman上一個端口如https://xxx.com替換為http://xxx.com:8081,消息體中的相關鏈接也進行如是替換)。這樣Middleman就與client建立起http連接,與Server建立起https連接,能看到并修改用戶發送的數據和服務器返回的數據。

參考文章:



本頁內容由塔燈網絡科技有限公司通過網絡收集編輯所得,所有資料僅供用戶學習參考,本站不擁有所有權,如您認為本網頁中由涉嫌抄襲的內容,請及時與我們聯系,并提供相關證據,工作人員會在5工作日內聯系您,一經查實,本站立刻刪除侵權內容。本文鏈接:http://www.junxiaosheng.cn/20462.html
相關開發語言
 八年  行業經驗

多一份參考,總有益處

聯系深圳網站公司塔燈網絡,免費獲得網站建設方案及報價

咨詢相關問題或預約面談,可以通過以下方式與我們聯系

業務熱線:余經理:13699882642

Copyright ? 2013-2018 Tadeng NetWork Technology Co., LTD. All Rights Reserved.    

  • QQ咨詢
  • 在線咨詢
  • 官方微信
  • 聯系電話
    座機0755-29185426
    手機13699882642
  • 預約上門
主站蜘蛛池模板: 牛牛在线精品视频| 国产精品免费一区二区三区视频| a级男女性高爱潮高清试看| 国产这里有精品| 午夜噜噜噜私人影院在线播放| a级毛片黄免费a级毛片| 蜜臀久久99精品久久久久久做爰| 亚洲欧美日韩一级特黄在线| 国内精品久久人妻无码HD浪潮| 亚洲AV精品一区二区三区不卡| 国产露脸无码A区久久| 亚洲 欧美 日韩 国产 视频| 國產麻豆AVMDXMDX| 亚洲色图另类小说| 久久人妻少妇嫩草AV蜜桃99| 中文字幕在线不卡日本v二区 | 亚洲中文字幕永久在线| 黑丝制服影院| 一级性生活毛片| 美女脱精光让男生桶下面| 99re6久久热在线播放| 女侠含泪巨臀迎合79| 成电影人免费网站| 我们中文在线观看免费完整版| 国产午夜福利伦理300| 亚洲免费片| 麻豆精品国产剧情观看| 99视频在线精品免费观看18| 日本无码人妻精品一区二区视频| 国产盗摄一区二区| 亚洲免费在线观看视频| 乱辈通奷XXXXXHD猛交| YIN荡的老师系列第6部分视频| 少妇厨房愉情理9伦片视频| 国拍自产精品福利区| 最近中文字幕免费高清MV视频 | cntv官网| 午夜熟女插插XX免费视频| 久久re视频精品538在线| 99久久久无码国产AAA精品| 骚浪插深些好烫喷了|