web-dev-qa-db-ja.com

SSLStripとHSTS

新しいSSLStripと、HSTSをバイパスする方法について聞いたことがあります。

  1. これについて述べている記事はどこにありますか？
  2. これはどのように作動しますか？
  3. どこでダウンロードできますか？ MoxieのWebサイトは、2011年以降、新しいバージョンで更新されていません。
tlshstssslstrip
1
Goodies

2011年以降、sslstripの新しいバージョンはなく、機能はすでに存在しています。

仕組み：

まず、HSTSヘッダーについて知っておく必要があります。 SSLStripは、サーバーが初めてHSTSヘッダーを送信するときに機能し、その間のトラフィックをインターセプトすると、ヘッダーがクライアントに到達できなくなります。

クライアントがHTTPSを介してサーバードメインおよびサブドメインと通信できるようにするHSTSの重要なヘッダーフィールドは

Strict-Transport-Security：max-age = "value"

したがって、ヘッダーをインターセプトし、HSTSがクライアントに到達することを許可しない場合、SSLStripが機能します。

記述された方法の短所

上記の方法は、クライアントが一部のドメインとサブドメインでHSTS（プリロードメソッドと静的メソッド）を使用するように構成されている場合は機能しません。 Chromeのような多くのブラウザがあり、一部のサイトにはプリロードされたHSTS（静的ではない）構成を使用します。max-ageが定義されたHSTSリストを確認するには、このリンクを参照してください。

プリロードされたHSTSリスト

しかし、それも回避することができます、このリンクを参照してください

HSTSプリロード済みポリシーのバイパス

8
P4cK3tHuNt3R

Wikipedia から：

HSTSポリシーは、"Strict-Transport-Security"という名前のHTTP応答ヘッダーフィールドを介してサーバーからユーザーエージェントに伝達されます。 HSTSポリシーは、ユーザーエージェントがセキュリティ保護された方法でサーバーにアクセスする期間を指定します。

要するに、この応答ヘッダーフィールドをブラウザーにトリミングするだけで、これを強制する必要があることは決してわかりません。リダイレクトとは関係ありません。

2
Ken