清晰圖解https如何防范中間人攻擊 https://blog.csdn.net/oZhuZhiYuan/article/details/106650944
中間人可以獲取站點的證書，但不能獲取站點的私鑰，所以無法與客戶端進行密鑰協商，但中間人也不是沒有辦法，既然獲取不到站點的私鑰，那索性就不用站點的證書，比如fiddler，
fiddler會使用自己的證書，而不使用站點的證書，這需要用戶手動添加并信任fiddler的證書，
Android系統https抓包問題分析 https://www.cnblogs.com/jiangjunyong/p/13272164.html
如果用戶缺乏安全知識，添加了攻擊者頒發的證書，或者沒有添加信任但是無視了安全告警，那https也無法阻止攻擊，這篇文章提到了SSL pinning（也叫客戶端預埋證書），消除了這個隱患，不過預埋也可以被XPosed+justTrustMe繞過，使預埋驗證被跳過，（網上有的https教程，驗證函式直接return true，或者是直接使用開源框架，而一些開源框架的驗證函式也沒寫）
SSL劫持（即類似fiddler）與SSL剝離（另一種中間人攻擊思路，且瀏覽器不會發出警告！）：
https://blog.csdn.net/shenshaojun/article/details/109121888
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/260713.html
標籤：其他
上一篇：介面以及介面自動化基礎知識