是否可以在中转时修改服务器回复答案

【问题标题】：Is it possible to modify server reply on transit是否可以在中转时修改服务器回复
【发布时间】：2013-01-01 06:16:36
【问题描述】：

我正在构建一个允许使用 SRP-6 协议对服务器进行身份验证的 javascript 库。

我知道由于 XSS，使用 javascript 作为身份验证方法不是最佳选择。但是适当的 XSS 预防可以消除大多数问题。

我唯一关心的是在用户收到请求之前修改服务器回复有多容易？

示例场景：

用户请求页面：http://serverdomain/home

服务器：回复：

<html>
   <head>Home</head>
   <script type="text/javascript" src="auth.js"></script>
   <body>Home</body>
</html>

在用户收到回复之前。黑客能以某种方式神奇地修改回复

<html>
   <head>Home</head>
   <script type="text/javascript" src="hacker_auth.js"></script>
   <body>Home</body>
</html>

这可能吗？这是我在使用 javascript 进行身份验证时能想到的漏洞之一。

【问题讨论】：

【解决方案1】：

Badaboooooom 成功了：http://en.wikipedia.org/wiki/Man-in-the-middle_attack 您可以使用 https 来降低风险，但如果用户没有注意到“锁定”已消失，http://www.thoughtcrime.org/software/sslstrip/ 等工具仍然可以进行攻击。

【讨论】：

【解决方案2】：

您可以使用像 HTTPS 这样的安全协议来避免这种情况，尽管一切都可以通过某种方式被黑客入侵，但有些比其他的更容易被破解。

【讨论】：