越來越明文HTTPS的監聽請求是一個錯誤

Question

我通過小提琴手攔截Android應用程序的HTTPS請求在我的手機爲目的的滲透測試。我在我的android手機中安裝了提琴手證書，以便攔截HTTPS請求。

我的問題是，我可以看到和我的手機在提琴手明文HTTPS請求。那麼，它是一個Android應用程序的錯誤還是以明文形式查看HTTPS請求是正常的？

，請幫助我在新的世界滲透測試:)

Answer 1

這聽起來並不像什麼是錯的。

HTTPS是HTTP包裹在一個加密隧道使用傳輸層安全（TLS）協議（其在許多情況下是代名詞SSL）創建的。這聽起來像你正在手機上安裝證書頒發機構證書頒發機構證書。通過這樣做，你告訴電話：「允許提琴手爲任何主機生成新的TLS證書」。然後，手機應該非常樂意接受由Fiddler生成的TLS證書，而不是實際的應用程序的TLS證書，因此Fiddler可以攔截HTTPS流量，攔截並將其傳遞到上游。在現實世界中，攻擊者難以在目標手機上安裝CA證書，從而阻止攻擊者攔截並讀取HTTPS流量。

有可能迫使應用程序或用戶代理爲僅接受一個給定的證書（這被稱爲證書釘扎）。也可以強制應用程序僅使用HTTPS（HTTP嚴格傳輸安全性）。還有其他相關的控制，但這些可能值得研究。

與此同時，退房https://en.wikipedia.org/wiki/Certificate_authority。