嗅探和篡改網站的請求和響應，如何防範？

我正在研究有關我的網站的安全性和其他內容。
在我的國家在線支付像paypal一樣工作。
意味着你應該以郵寄方式傳遞一些參數，如金額，MERCHANTID，RETURNURL，ResNum（訂單ID）銀行和付款後銀行會通過一些參數，如MID，狀態，ResNum給你。
這個請求和響應有人在可以使用下面的軟件嗅探和篡改：
http://www.fiddler2.com/fiddler2/
請看到這部影片：
http://www.fiddler2.com/fiddler/help/video/
我測試它，它也使用證書適用於HTTPS。
哇...嗅探和篡改網站的請求和響應，如何防範？

我該如何防止這種嗅探和篡改？
在付款後在賣方調用的名爲VerifyTransaction的銀行網站中有一個函數，此函數返回金額。
此功能位於銀行端的Web服務上。
的主要問題是：
可以通過銀行和賣方之間有人嗤之以鼻，並篡改網絡服務？
意思是小提琴手可以做那個或其他工具嗎？
如果是的話，我們如何防止這種嗅探和篡改（網絡服務）？

真正體會到了關注

來源

2012-05-08 MoonLight

的可能重複[如何防止HTTPS人在中間從服務器端的攻擊？（http://stackoverflow.com/questions/3078677/how-to-prevent-https-man-in-middle-攻擊從服務器端） –

嗨，我不這麼認爲，主要問題是關於web servises。 – MoonLight

提琴手是一樣的客戶端，Web瀏覽器上運行，無論是同一用戶的控制下運行，因此它不能做任何事情，你不能這樣做只需一個瀏覽器（但也許更多的努力）。

從未有一個保證從客戶端向服務器的數據已經由HTML/JavaScript的/等發送。你爲他們服務。這就是爲什麼你永遠不應該信任用戶的輸入，例如總是在服務器端進行數據驗證（並且爲了提高可用性，只能在客戶端進行數據驗證）。這就是銀行和賣家之間網絡服務電話的原因，以確保交易細節是正確的。

篡改和賣方服務器與銀行服務器之間的流量嗅探可以通過適當的TLS設置來防止。

來源

2012-05-08 08:45:32

嗨，謝謝你的答案，請你提供一些關於TLS設置的信息。關於嗅探和篡改Web服務器我認爲應該有一種方法。 xml格式的服務器和我們的系統之間的通信，作爲一箇中間人。你怎麼看待這個問題？ – MoonLight

嗅探和篡改網站的請求和響應，如何防範？

回答

相關問題