如果有人嗅探网络流量，他能否将他嗅探到的完全相同的加密请求（不篡改）重新发送到服务器？例如，一个请求可以激活服务器上的某个过程，那么他是否可以因为拥有请求内容而重新激活该过程，即使它是在 HTTPS 上的？
【问题讨论】：
标签： security https server sniffing network-traffic
这被称为Replay Attack：
重放攻击（也称为回放攻击）是一种网络攻击形式，其中恶意或欺诈性地重复或延迟有效数据传输。
SSL/TLS 固有地保护您的连接免受重放攻击，因此通过 HTTPS 的任何内容都受到保护。
但是，如果有一个代理服务器（可能是透明的）在途中使用您的浏览器信任的 SSL 证书（例如在每台计算机上安装了组织签名的根证书的公司环境中），那么这将是能够重放 HTTPS 流量。
【讨论】：
The master_secret is hashed with the ClientHello.random and ServerHello.random to produce unique data encryption keys and MAC secrets for each connection.To prevent message replay or modification attacks, the MAC is computed from the MAC secret, the sequence number, the message length, the message contents, and two fixed character strings.。它不会被存储，但如果攻击者重播相同的ClientHello 消息，服务器将在ServerHello 中回复不同的随机值，因此 MAC 机密会不同，因此加密..
答案取决于谁可能会攻击您的系统：
如果使用您的网页或应用程序的用户是攻击者，则明确的答案是“是”，请求数据是可访问的。
如果必须将本地系统管理员视为潜在攻击者，答案是肯定的。
如果您谈论的是只能访问加密数据包的外部攻击者（例如互联网访问提供商），答案是否定的。
您始终可以通过记录所有请求和响应数据的解密代理重定向 HTTPS 流量。客户端只需要接受/安装/信任代理的证书。
【讨论】：