使用fiddler时，有一种情况，即执行https请求时，Host都是tunnel to， URL后边都带着443，这是什么意思呢？比如：访问 https://www.csdn.net/ 时，fiddler显示如下：

查看请求头会发现使用了Connect方法，

CONNECT www.csdn.net:443

Connect方法通常会建议代理(fiddler)与目标服务器建立http tunnel；尽管Connect也可以用于http请求，但是一般是用于SSL通信；
图中也显示了，fiddler提示不能解密HTTPS请求的数据。

默认情况下fiddler是不能解密https请求的，只有开启了Decrypt HTTPS traffic功能时fiddler才能获取到https请求的数据：

中间人劫持攻击

https也不是绝对安全的，如下图所示为中间人劫持攻击，中间人可以获取到客户端与服务器之间所有的通信内容。

中间人截取客户端发送给服务器的请求，然后伪装成客户端与服务器进行通信；将服务器返回给客户端的内容发送给客户端，伪装成服务器与客户端进行通信。
通过这样的手段，便可以获取客户端和服务器之间通信的所有内容。

使用中间人攻击手段，必须要让客户端信任中间人的证书，如果客户端不信任，则这种攻击手段也无法发挥作用。

中间人攻击的预防：
造成中间人劫持的原因是：没有对服务端证书及域名做校验，或者校验不完整，导致把中间人的证书也认为是服务端的证书。okhttp，volley等http框架都有证书及域名校验机制。

fiddler能解密https的原理

是因为设置了信任fiddler的证书：

Tools—–> options—–>https—–>capture https traffic—->decrypt https traffic—>Ignore server certificate errors—->Actions—–>Trust root certificate—->之后都是确定

安装根证书后，可以点击Actions—–>open windows certificate manager查看安装到系统的根证书：

如果不设置这些选项，那么电脑就不会信任fiddler的证书，fiddler就不能解密https请求。

参考：
fiddler使用
HTTPS连接过程以及中间人攻击劫持

This is a CONNECT tunnel, through which encrypted HTTPS traffic flows.相关推荐

ERROR: Could not open CONNECT tunnel
2019独角兽企业重金招聘Python工程师标准>>> Landon Campbell Landon Campbell Email: c***@hotmail.com ...
Machine Learning for Encrypted Malware Traffic Classification
Machine Learning for Encrypted Malware Traffic Classification: Accounting for Noisy Labels and Non-S ...
【研究型论文】Encrypted Malware Traffic Detection via Graph-based Network Analysis
文章目录 Encrypted Malware Traffic Detection via Graph-based Network Analysis 摘要存在的问题论文贡献 1. 威胁模型 2. 系 ...
Machine Learning for Encrypted Malware Traffic Classification Accounting for...阅读笔记
Machine Learning for Encrypted Malware Traffic Classification Accounting for Noisy Lables and Non-St ...
fiddler https 抓包
原理 fiddler抓包原理 fiddler 调试器注册到操作系统因特网服务中,系统所有的网络请求都会走fiddler的代理,所以fiddler才能抓包. Debug traffic from any ...
fiddler 升级后抓取https流量各种失败后一定不要忘记这一招
fiddler抓取https请求,官网有配置教程,http://docs.telerik.com/fiddler/Configure-Fiddler/Tasks/DecryptHTTPS 一般情况下, ...
HTTPS为什么安全分析 HTTPS 连接建立全过程
HTTPS为什么安全 &分析 HTTPS 连接建立全过程 mikeal 15天前技术干货安全 HTTPS 微信分享本文将分两个专题去理解HTTPS. 专题一:HTTPS为什么安全 1 ...
JMeter学习-017-java.net.SocketException: Permission denied: connect 解决方案
JMeter学习-017-java.net.SocketException: Permission denied: connect 解决方案参考文章: (1)JMeter学习-017-java.ne ...
ssh: connect to host github.com port 22: Connection timed out
问题描述 $ git clone git@github.com:MaugerWu/MaugerWu.github.io.git Cloning into 'MaugerWu.github.io'... ...
自定义MongoDB的Spring Social Connect框架
在上一篇文章中 ,我谈到了我面临的第一个挑战是更改数据模型并添加连接框架. 在这里,我想提供有关我如何做的更多详细信息. Spring Social项目已经提供了基于jdbc的连接存储库实现,以将用户 ...

This is a CONNECT tunnel, through which encrypted HTTPS traffic flows.

中间人劫持攻击

fiddler能解密https的原理

This is a CONNECT tunnel, through which encrypted HTTPS traffic flows.相关推荐

最新文章

热门文章