记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

360等手机浏览器信任自签名证书(可能导致劫持风险加剧)

2015-04-02 11:45

访问被劫持的苹果中国,没有任何提示~

m360.jpg



换个做了证书hostname判断的浏览器试试

遨游.jpg





再做个实验:访问使用天融信自签名证书的站点,依旧没任何提示直接进入

m3602.jpg



换个正常的浏览器做对比

天融信自签名证书.jpg





为了更严谨一点,我在手机端设置代理,将手机流量代理到PC的软件fiddler中,这样手机浏览器访问https站点收到的将会是fiddler的证书(手机并未安全fiddler的证书),然后通过360浏览器打开https://github.com。依旧没有任何ssl错误的提醒,确认有证书盲注信任的漏洞。





漏洞证明:

同样存在问题的还有搜狗、猎豹手机浏览器

猎豹2.jpg



搜狗.jpg





UC、百度、chrome等其他浏览器均正常

mUC.jpg



baidu.jpg

修复方案:

知识来源: www.wooyun.org/bugs/wooyun-2015-080287

阅读:74948 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“360等手机浏览器信任自签名证书(可能导致劫持风险加剧)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云