记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

无视HTTPS发起中间人攻击

大约十年前,Firesheep制造了一个大新闻。多年来,安全人员已经了解了公共WiFi网络的危害,但直到有人创建了这个用户友好的Firefox扩展插件之后,这个安全问题才得到了人们的关注。从那时起,网络上发生了很多事情,那么这样的事情还有可能再发生吗?TL; DR; 由于HTTPS的存在,MITM攻击目前不再是一个问题。但是,使用CORS,postMessage和其他一些很酷的东西,有时也可以绕过HTTPS。虽然这是网站所有者的错,但受害的却是用户。几年前Firesheep是人们脑海中最重要的东西。在那个年代的网站,比如说Facebook,默认情况下还没有开始使用HTTPS。移动设备(包括笔记本电脑和手机)的
发布时间:2019-01-25 12:20 | 阅读:66752 | 评论:0 | 标签:Web安全 HTTPS

敏感数据明文传输引发的全新攻击

阅读: 136敏感数据的安全传输是网络安全技术的一个重要的组成部分,但是敏感数据(有且但不限于用户登录账户及密码)明文传输却是一个很常见的漏洞,而这个漏洞因为利用难度大而被评为一个中危风险——绝大多数扫描器或者人工渗透。关于明文传输漏洞的解决方案,众所周知只有https是最佳实践,虽然ssl证书的价格需要考虑,以及https也不是绝对安全的,当遭受中间人劫持攻击的时候也会获取到传输中的明文数据,具体攻击详情见文章《HTTPS连接过程以及中间人攻击劫持》,但是这篇文章也说了,使用中间人攻击手段必须让客户端信任中间人的证书,否则攻击无效。因此这种攻击方式可以放弃,难度大且不方便隐藏攻击。相关链接:https://blog.csdn.net/hbdatouerzi/article/details/71440206文章
发布时间:2018-05-09 15:05 | 阅读:203836 | 评论:0 | 标签:安全分享 https https加密 敏感数据传输 明文传输 网络安全

19年之久的ROBOT漏洞复现 流行网站受害

如果你认为比如Facebook和PayPal之类,受到大众追捧的流行网站就能免受上个世纪的漏洞侵害的话,你就太天真了!研究显示:1998年发现的一个漏洞最近死灰复燃,威胁多种流行网站和在线服务。该漏洞被命名为ROBOT,是丹尼尔·布雷琴巴赫于1998年发现的。ROBOT是个首字母缩写,意思是布雷琴巴赫Oracle威胁重现(Return Of Bleichenbacher’s Oracle Threat)。新版ROBOT是在最近的Facebook漏洞奖励项目中被3名研究人员发现的。12月12日公布了新版ROBOT漏洞细节,但研究人员因此获得的奖金数额并未透露。ROBOT存在于传输层安全(TLS)协议,影响所有主流网站——因为攻击者可解密数据,并用网站的私钥来签名通信。TLS协议用于执行Web加密,而该漏洞就存在于
发布时间:2017-12-19 01:05 | 阅读:114993 | 评论:0 | 标签:威胁情报 HTTPS ROBOT 传输层安全协议 安全漏洞 漏洞

【干货分享】通信安全:IOS客户端证书校验方法

阅读: 54随着移动互联网的发展,互联网应用也在与日俱增,传统的金融行业,如银行的手机银行业务,现在热门的互联网金融企业,其移动应用都在不断的更新,同时,移动客户端的安全性也受到了前所未有的威胁,如盗版app,SQL注入,任意用户密码重置等漏洞,但这些漏洞的进一步利用很多情况下都依赖于中间人攻击,也就是客户端与服务端进行通信时未采用安全的https方式进行通信,而是采用不安全的http方式进行通信。本文就https基于SSL安全传输中相关问题进行了探索研究,以便在以后的客户端安全测试当中有一定的帮助。由于移动互联网发展起始时间比较晚,开发人员也是近几年才发展起来,所以对于技术的水平也参差不齐。很多开发人员在开发初期都进行了比较安全的设计,但是在实现的时候没有很好的发挥其功能,特别是威胁比较大的SSL证书校验。有
发布时间:2017-09-22 23:35 | 阅读:151200 | 评论:0 | 标签:安全分享 app安全 ios app证书校验 https https 原理 https证书校验 IOS ios ssl

“未来密码”——OpenSSL中国行报名全面开启

首先,“名词解释”环节必不可少~OpenSSLOpenSSL是互联网加密传输的核心基础组件,当前互联网安全传输的大部分场景(如HTTPS)均使用OpenSSL开源项目。作为一个全球性的开源项目,由OpenSSL团队主要负责开发、维护。未来密码本次OpenSSL团队来华交流,除介绍OpenSSL项目中已实现的加密形式、算法外,还将与中国的开发者群体共同探讨“量子加密”“后量子时代的密码学”等行业前沿议题,探索“未来密码”,解锁未来互联网的无限可能。其次,这次来的可是响当当的主力阵容~~1. Steve MarquessOpenSSL创始人之一,管理委员会成员,OpenSSL团队“大管家”,毕业于约翰霍普金斯大学,美国国防部前顾问,目前作为董事长和CEO运营Veridical Systems公司,为美国国防部提供咨
发布时间:2017-09-21 02:15 | 阅读:93380 | 评论:0 | 标签:活动集中营 HTTPS OpenSSL 后量子时代 密码学 白山云

使用Go和Let’s Encrypt证书部署HTTPS

HTTPS的好处我们已在之前的文章中提高好多。它加密浏览器和服务器之间的流量,保障你密码传输的安全,让你的页面加载速度飞快,有助于网站的SEO优化还有对HTTP网站百般嫌弃的浏览器厂商……这些都是使用HTTPS的理由。那么问题来了,怎样可以又快又好地部署HTTPS呢? 使用第三方提供的HTTPS 比如说CloudFlare,他们的免费方案为你那仅支持HTTP的网站提供仿HTTPS代理服务。 要使用CloudFlare: 配置你的域,使用CloudFlare的DNS服务器 在CloudFlare的DNS设置中,将域指向你的服务器,并通将“状态”设为“DNS和HTTP代理服务器(CDN)” 在CloudFlare的加密设置中,将SSL设为“灵活”(该选项使浏览器通过HTTPS与Cloud
发布时间:2017-07-17 15:50 | 阅读:96447 | 评论:0 | 标签:工具 HTTPS SSL证书 网站加密

另类追踪之被“策反”的安全机制

* 原创作者:ArkTeam/Hey-x1,本文属FreeBuf原创奖励计划,未经许可禁止转载 Web安全一直是互联网用户非常关心的话题,无论是国际互联网组织还是浏览器厂商,都在尽力使用各种策略和限制来保障用户的信息安全。然而,这种好的出发点,却极可能被心怀不轨的人利用(即被“策反”),来对用户进行追踪,带来更多的隐私泄露问题和其他的安全隐患。 一、首先,介绍两个安全机制 (1)HTTP严格传输安全HSTS HSTS(HTTP Strict Transport Security)[1],是国际互联网工程组织正在推行的Web安全协议,其作用是强制客户端(如浏览器)使用HTTPS与服务器创建连接,用来抵御SSL剥离攻击。    图1 HSTS原理图 如图所示HSTS运作原理图,对其进行拆解: 1
发布时间:2017-04-22 11:35 | 阅读:114028 | 评论:0 | 标签:WEB安全 https 浏览器

利用Hook技术实现浏览器HTTPS劫持

* 原创作者:浪子_三少,本文属FreeBuf原创奖励计划,未经许可禁止转载 现在很多网站都使用了 https 的方案,保证了传输中的数据不被修改或者被第三方封包软件看见,但是由于https有一些隐含的缺陷或者服务器验证的不严格,https被劫持的可能性存在,就像之前出现了”净广大师”病毒劫持https,往百度搜索里插入广告id,他使用的方法就是中间人攻击,强行插入自己的证书实现解密https,今天我们介绍一种浏览器劫持的方法实现https劫持,现在我们就开始分析去找到浏览器中https加密的入口。 (一)分析方法 首先我们打开浏览器(注意:这里涉及的浏览器的名字都会被隐去),输入baidu.com,在baidu里输入666666 我们可以看到baidu搜索时浏览器地址栏里,baidu的网站使用的是htt
发布时间:2017-04-10 12:35 | 阅读:139984 | 评论:0 | 标签:WEB安全 https 浏览器

HTTPS检测工具可能会弱化安全

美国计算机应急响应小组(US-CERT)警告:很多拦截HTTPS流量的安全产品都没有很好地验证证书。 使用安全产品检测HTTPS流量的公司,可能无法避免地弱化了其用户加密连接的安全性,将用户暴露给中间人攻击。 US-CERT是美国国土安全部(DHS)下属机构,在最近的一次调查过后发布了一份咨询公告,称HTTPS检测产品并不能完全反映出客户端和服务器间原始连接的安全属性。 HTTPS检测会核对来自HTTPS站点的加密流量,确保不含有威胁或恶意软件。该过程通过拦截客户端到HTTPS服务器的连接来实现,会以客户端的名义创建连接,然后用本地产生的证书对发送给客户端的流量再次加密。做这项工作的产品基本上都相当于中间人代理。 典型企业环境中,HTTPS连接甚至能被拦截并重加密多次:在网络边界被网关安全产品或数据泄露预防系
发布时间:2017-03-24 06:40 | 阅读:78887 | 评论:0 | 标签:牛闻牛评 HTTPS 链接拦截

卡巴斯基反病毒产品现漏洞 可被中间人攻击

研究者发现,基于脆弱的32位签名的证书验证机制很容易受到不同站点相同签名的碰撞影响。 卡巴斯基实验室近期更新了反病毒产品,本次更新修补了致使用户易受流量劫持的漏洞。 谷歌的漏洞研究员塔维斯·奥尔曼迪最早发现这一漏洞,该漏洞存在于卡巴斯基杀毒软件用来检测加密链接内的潜在威胁时所用的SSL/TLS流量检测功能里。 和其他终端安全产品一样,卡巴斯基会在电脑上安装一个自签名的CA根证书,并用它延伸出的“叶”证书进行拦截访问,从而对用户访问的所有https可用的站点授予证书。这允许杀毒软件对本地浏览器和远程服务器之间的链接进行加/解密操作。 奥尔曼迪发现,每当卡巴斯基的反病毒产品生成一个拦截证书时,它会基于网站提供的原始证书序列号生成一个32位的密钥并缓存这一对应关系。而这一机制使得当用户再次访问同一网站时,杀毒软件会
发布时间:2017-01-11 01:30 | 阅读:118202 | 评论:0 | 标签:威胁情报 HTTPS 中间人攻击 卡巴斯基 反病毒 密钥 数字证书 漏洞

“净广大师”病毒HTTPS劫持技术深度分析

一、背景 近期,火绒团队截获一个由商业软件携带的病毒,并以其载体命名为“净广大师”病毒。在目前广为流行的“流量劫持”类病毒中,该病毒策略高明、技术暴力,并攻破HTTPS的“金钟罩”,让百度等互联网厂商普遍使用的反劫持技术面临严峻挑战。且该病毒驱动在”净广大师“卸载后仍然会持续加载并劫持百度搜索流量,行为及其恶劣。 我们曾在此前报告(“净广大师”病毒攻破 HTTPS防线 劫持百度搜索流量牟利)中进行过病毒简述,本文中我们将对“净广大师”病毒进行详细分析。 二、 样本分析 在“净广大师”安装过程中,我们注意到“AdAnti.exe”进程在系统驱动目录下释放了一个隐藏的文件名为“rtdxftex.sys”的驱动。如下图所示: 图2-1、“净广大师”安装过程 该驱动是“AdAnti.exe”从“净广大
发布时间:2016-12-24 04:40 | 阅读:266133 | 评论:0 | 标签:终端安全 https

绕过混合内容警告 – 在安全的页面加载不安全的内容

来源链接:https://www.brokenbrowser.com/loading-insecure-content-in-secure-pages/ 原作者:MagicMac 译:Holic (知道创宇404安全实验室) 前言 毋庸置疑,当今网络正在向 HTTPS(安全)内容发展。重要的域名现在他们已经将证书准备好了,他们的站点应该是有效且安全的。但是你是不是很好奇:到底能安全到何种程度?显然,通过 HTTPS 提供的内容是可以抵御中间人攻击(MITM),网络嗅探/篡改等方面的攻击的。但是你有没有想过, HTTPS 协议是否保护终端用户免受其他方面的威胁?答案显然是肯定的。 如我们所知,攻击者目前使用了广泛的渠道提供他们的恶意 payload ,恶意广告便是其中之一。他们购买廉价的广告空间展示显眼的广告,但
发布时间:2016-11-17 15:20 | 阅读:158927 | 评论:0 | 标签:Web安全 HTTPS IE/Edge 加载不安全内容 绕过混合内容警告

这四位谷歌美女安全研究员决心颠覆Web安全观

去年8月,谷歌Chrome浏览器安全团队负责人帕里莎·塔布里兹,为展现团队精神而给她的团队成员定制了时尚运动衫,上面醒目印着“Department of Chromeland Security (Chrome安全部)”字样,以及在用户访问不安全网站时Chrome给出的警告标志:一把画了个“X”的红色挂锁。 但几天后塔布里兹团队成员安德莲娜·波特·菲尔特穿上那件运动衫时,她妹妹看着那个矩形上挂个弧形的小锁图标很天真地问:为什么运动衫上要印个红色钱包啊?对塔布里兹的团队而言,网上普通人都能分辨出钱包和挂锁符号的错误假设,代表着现代浏览器的一个基本问题。 塔布里兹的团队负责帮助数十亿人评估所访问网站的安全性,但却只有一个迷样难猜的图标来区分锁定连接的加密网站与不受保护的网站——后者可致用户面临威胁侵害,或者被星巴克
发布时间:2016-11-08 01:30 | 阅读:104762 | 评论:0 | 标签:牛闻牛评 chrome HTTPS WEB安全 谷歌

亚洲诚信与腾讯云达成战略合作 携手共建安全云生态

9月27日下午,亚洲诚信与腾讯云的“自动化SSL证书”战略合作签约仪式在上海举行。亚洲诚信CEO翟新元与腾讯云合作业务总经理彭艳萍代表双方签署了战略合作协议书,赛门铁克大中华区总裁陈毅威(Alan Chan)作为亚洲诚信的战略合作伙伴见证了双方的签约。 根据协议,双方将联合推出“云SSL证书申请与管理”的一站式自动化服务。此项服务可以让腾讯云的用户零成本申请SSL数字证书,并一键将HTTPS加密部署到产品中,帮助用户实现网站和应用全站HTTPS加密,为用户的数据安全保驾护航。对于安全级别要求更高的企业用户,此方案同时提供了一键升级到赛门铁克全系列的企业级SSL证书。 “数据安全问题不仅仅出现在云端,而是出现在整个网络,尤其在大数据、人工智能走向普及的今天,网络流量劫持层出不穷,信息数据监听盗取也愈演愈烈,其中
发布时间:2016-09-29 03:50 | 阅读:95766 | 评论:0 | 标签:行业动态 HTTPS 亚洲诚信 腾讯云

为什么谷歌对HTTPS的爱将永久改变互联网

谷歌想让大家都抛弃非加密Web连接,Why?网站用加密的https前缀真的那么重要吗? 直到最近,大家都觉得只有那些需要访客登录的网站,比如购买产品或服务,或者访问隐藏内容的,才需要用https。但近几年,https连接(使用安全套接字层(SSL)协议或其更佳继任者传输层安全(TLS))快速在互联网上铺开,原因很多,不单纯是为了保护电子商务交易。 然而,谷歌最近又在这份原因列表中增加了一笔:将于2017年1月推出的Chrome版本56中,非https网站将在谷歌浏览器地址栏中被标记为“不安全”。 谷歌很久以前就在推行https安全,因而这次的举动,不过是其提升互联网安全总体规划的最新一步而已。 标记会很明显,肯定会使未使用https的网站蒙羞。第一批这么标记的,将是传输口令或信用卡的https网站——尽管谷歌
发布时间:2016-09-25 03:55 | 阅读:80011 | 评论:0 | 标签:牛闻牛评 HTTPS 安全连接 谷歌

wyproxy:基于mitmproxy,支持HTTP/HTTPS, Socks5的代理

项目主页 https://github.com/ring04h/wyproxy 简介 HTTP/HTTPS, Socks5代理服务器, 并可以将网络请求记录保存到后台数据库,帮助安全测试人员更加便捷的发现(客户端/APP/网页)中隐藏的接口或资源。同时支持流量handle回放数据功能,在HTTP Header中插入 移动/联通/电信 营业厅的免流量域名头, 实现免流量代理上网。 支持场景 iPhone App iPad App Mac OS X App Android APP 帮助说明 记录字段如下 method (HTTP/HTTPS/OPTIONS) scheme (http/https/ftp) host (www.wuyun.org) port (80/8080) url (https://w
发布时间:2016-09-15 14:10 | 阅读:360248 | 评论:0 | 标签:工具 http HTTPS mitmproxy socks5 wyproxy 代理

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云