https加密协议流量劫持尝试

由越来越多的网页信息改为HTTPS 加密协议,传统的运营商基于DPI的数据获取和广告营销方式已经不可行,需要一种新的方式采集可用数据。

这里以汽车之家为例…

(1)通过手机版的数据获取部分DPI信息。

相对网页版,手机版的加密信息相对少些,因此可以以手机版本作为切入,获取用户部分信息。

实验结果:

我们可以看出手机版具有部分数据依然是HTTP格式,比如用户中心还有一些汽车api等,但是大部分的页面已经改为HTTPS格式了。

(2)让浏览器加入特定的根证书实现网络劫持。

导入受信人根证书到浏览器中,劫持客户端向服务器发送的请求,利用受信任证书进行解密。

实验结果:

结论:我们利用SSLSplit导入证书后,可以看出汽车之家的连接已经全部变成明文可解密的连接。

实现方法:可以类似12306的网站,要求用户下载安装根证书,风险是会提示网站证书出错。

(3)利用sslstrip进行HTTPS 向下降级攻击。

将SSL strip将HTTPS请求改为HTTP请求,从而进行中间人攻击。

实现方法:这类方法的实现难度较大,需要作为中间人进行转发,未进行相关实验。

shikanon wechat
欢迎您扫一扫,订阅我滴↑↑↑的微信公众号!