灯火互联网(2)
时间:2022-12-14 13:25 来源:网络整理 作者:采集插件 点击:次
访问的网站域名与证书绑定的域名不一致 一、SSL劫持攻击 SSL劫持也就是SSL证书欺骗攻击，攻击者为了获得HTTPS传输的明文数据，需要先将自己接入到浏览器与目标网站之间（中间人），在传输数据的过程中，替换目标网站发给浏览器的证书，之后解密传输中的数据，简单的图示如下： [浏览器] <======> [目标网站] （正常情况） [浏览器] <======> 中间人 <======> [目标网站] （中间人攻击） 中间人攻击最好的环境是在局域网中，局域网中所有的计算机需要通过一个固定的出口（网关）来接入互联网，因此攻击者只需要在局域网中实施一次中间人攻击就可以顺利的截获所有计算机与网关之间传输的数据。 下图就是在我的测试环境中实施一次中间人攻击之后进行的SSL证书欺骗工具，可以看到此时被欺骗的机器，浏览器已经给出证书错误的安全提示： 看到这样的提示，正常情况应该停止访问，如果继续访问，所有加密传输的数据都可以被攻击者解密。在这里我选择继续访问来看一下伪造的SSL证书信息。 这里可以看到，假证书中“颁发给”，“颁发者”，“有效日期”与真证书一样（见下图），攻击者可以在生成证书的时候给假证书写入与原始证书一样的信息来迷惑用户，但是迷惑不了证书的验证机制。对于普通用户来说，一定要看清浏览器的警告信息，如果有问题，就不要再继续访问。 二、SSLStrip攻击 SSLStrip攻击也需要将攻击者设置为中间人，之后将HTTPS访问替换为HTTP返回给浏览器，由于HTTP协议传输的数据是未加密的，从而截获用户访问的数据。举个例子，当我们访问hotmail.com的时候会重定向到一个https://login.live.com的一个HTTPS的地址上，SSLStrip会代替用户与服务器通信，并将这个地址改为（注意这个地址在http后面没有s）返回给浏览器，此时如果用户继续登录的话，攻击者就会截取到用户的密码。这种攻击非常对普通用户非常具有迷惑性，但是防御却非常的简单： (责任编辑：admin) |
- 上一篇：短信压力测试最新版下载
- 下一篇：山东省信息技术产业发展研究院（中国赛宝（山