是否可以以纯文本形式拦截安全请求的有效负载？

Question

考虑我们运行以下请求：

url="https://secretsub.example.com/secretpath/post.php" 
payload = {'secretmessage1' : 'foo','secretmessage2' : 'bar'}
r = requests.post(url,data=payload,verify=True)

语言（python）是任意的，但它可以是任何其他语言（NodeJs、Java、Php...）的请求

请注意，该 url 使用的是 https，这意味着连接是通过 SSL 保护的。假设我将这个程序编译成二进制（.exe），计算机是否可以通过软件以纯文本形式读取有效载荷？

我知道数据包嗅探软件（如 WireShark）只会以纯文本形式显示域名 (example.com)，但不会显示秘密路径或将被加密的有效负载。

如果我在网络 浏览器 中运行此代码（假设它是用 Javascript 编写的），我将能够以普通方式访问有效负载和 secretpath浏览器控制台中的文本。我假设浏览器仅在请求登录其控制台后才对其进行加密。但是如果这段代码在浏览器之外运行，有没有办法让计算机主机以纯文本形式截取这些数据？ （某种数据包嗅探工具）

Answer 1

只能看到域名、有效载荷和路径是加密的，并且只能通过客户端和网络服务器之间协商的会话密钥来解密。但是您计算机上的恶意软件可能能够访问它，例如通过访问应用程序使用的内存或通过使用带有某种后门的不安全编程库。

Answer 2

https 正在做的是启动证书交换，因此您的客户端将从服务器接收证书，以验证服务器是谁，并允许客户端通过通道（网络）加密数据。

第一点 - 验证服务器是他们声称的身份 - 依赖于称为证书链的东西。您收到的证书将使用颁发者私钥进行签名。您的客户应使用您应该“已经拥有”的颁发者公钥检查此证书。

大多数操作系统都有一个受信任的根证书列表。在 Windows 中，您可以在证书管理器中看到它们。

在不了解 python 的情况下 - @Patrick Mevzek 暗示您可以提供根 CA（证书颁发机构）或使用操作系统。如果您使用的是操作系统 - 您可能需要检查它是否存在。

我希望所有这些都是自动的 - 它是您指定的协议的一部分，即 https。但是 - 您可能想与 python 人确认这一点。

大多数人都忽略了这一切——但这非常重要。如果您不验证证书，那么您很容易受到“中间人”攻击或 DNS 欺骗。

基本上，我可以使用桌面上的几个工具为 secretsub.example.com 颁发证书。它不会由有效的 CA 签名，但如果您不检查它，那么我可以将该证书放在代理中（中间人） - 当您提出请求时，我的代理将从真实的服务器，建立 HTTP 连接，但将我的证书颁发给您的应用程序。然后，您将使用我的证书加密到我的代理，以便我可以读取您的数据，然后将其转发到真实服务器 - 您永远不会知道！ （许多公司代理人对他们的员工就是这样做的）。

或者，如果我可以更改您的 DNS 以将 IP 指向我的服务器，我几乎可以做同样的事情 - 充当代理。

完成后，数据将通过网络加密。

所以 - 是的 HTTPS 将在整个网络中加密 - 但请检查证书是否有效。

显然，正如有人指出的那样 - 数据在客户端计算机上是清晰的 - 就像它现在在您的浏览器中一样。

斯图尔特