SSLScan工具获取SSL信息

在某种程度上，我们认为HTTPS是安全的，攻击者得到的数据都是加密后的乱码，但是随着技术的发展，这并不是绝对的。

HTTPS服务器需要正确的配置来提供有效的加密方式，保护用户不受MITM攻击或者密码分析

一些SSL协议的实现和设计上的漏洞已经被发现了，所以我们需要对HTTPS进行检查

下面我们会使用SSLScand对HTTPS网站进行检查，它是Kali自带的工具，能够基于服务器的安全通信来分析服务器的配置文件（从客户端角度）

操作步骤：

1，打开Kali终端，输入sslscan 10.10.10.129

第一部分告诉了我们服务器的一些配置信息，包含常见的配置错误：不支持TLS Fallback SCSV，支持压缩，Heartbleed

第二部分告诉了我们服务器支持的加密算法，以及服务器首选的加密算法（如果客户端支持，服务器会尝试使用prefered的算法进行通信）

红色表示不安全的算法，黄色代表中等强度的算法

第三部分告诉了我们证书签名的一些信息，这里用的是1024位的RSA进行签名，强度太低了

工作原理：

sslscan通过创建多个https的连接来试探服务器支持的加密方式

当使用https连接到服务器的时候，会交换双方所支持的加密方式，之后选择双发都能支持的方式进行通信。如果https服务器配置不当，就会存在MITM攻击，攻击者就可以通过客户端支持的弱加密算法来欺骗服务器，假如使用的是SSLV2的56位DES，当攻击者拦截并使用了这种加密流量过后，可能在几天或者几小时之内就能够破解加密密钥。

sslscan能够检测heartbleed，这是一个openssl的漏洞

heartbleed漏洞存在于OpenSSL TSL中，它由一个缓冲区导致，允许从内存中读取数据

实际上，Heartbleed 可以在任何未装补丁的支持 TLS 的 OpenSSL （1.0.1 到 1.0.1f 之间）服务器上利用。它从服务器内存中读取 64 KB 的纯文本数据，这能够重复执行，服务器上不会留下任何踪迹或日志。这意味着攻击者可以从服务器读取纯文本信息，包括服务器的的私钥或者加密正是，会话 Cookie 或 HTTPS 请求会包含用户的密码或其它敏感信息

另见

SSLScan 并不是唯一从 SSL/TLS 获取加密信息的攻击。Kali 中也有另一个工具叫做 SSLyze可以用作替代，并且有时候会提供额外信息给攻击者。

sslyze --regular www.example.com

SSL/TLS 信息也可以通过 OpenSSL 命令获得：

openssl s_client -connect www2.example.com:443

SSLScan工具获取SSL信息相关推荐

Nexus 5手机使用Nexmon工具获取CSI信息
一.实验工具 1. Google Nexus5智能手机(系统:Android 6.0.1,固件:M4B30Z,权限:ROOT ,可参考Nexus 5刷机(Android 6.0.1,M4B30Z 固件 ...
android 获取手机信息工具类
package com.yqy.yqy_listviewheadview;import android.content.Context; import android.telephony.Teleph ...
IOCTL 获取网络信息（Ethtool工具）
1. 网络属性 # ifconfig eth0 eth0 Link encap:Ethernet HWaddr b0:d5:68:e1:e2:29inet addr:192.168.5.135 Bca ...
Java小工具：B站视频选集搜索器--获取选集信息
文章目录前言所需第三方包 1.hutool 2.jsoup 一.界面设计 1.idea中jFrameDesigner安装 2.界面设计二.获取选集信息 1.b站视频网页分析 2.添加按钮事件监听 ...
使用JavaScript语言配合开发者工具获取B站关注或粉丝的详细信息
使用JavaScript语言配合开发者工具获取B站关注或粉丝的详细信息说明:需要在浏览器登录自己的B站账号,才能获取到自己关注或粉丝的完整的信息,否则以访客的身份只能获取到前五页用户的信息,而且会出 ...
渗透工具ldapsearch-ad：Python3 脚本通过LDAP服务快速从域控制器获取各种信息。
Git地址: yaap7/ldapsearch-ad:Python3 脚本,用于通过他的 LDAP 服务从域控制器快速获取各种信息. (github.com) ldapsearch-ad.py Pyt ...
Java面典_【Java实用工具】——使用oshi获取主机信息
最近在筹划做一个监控系统.其中就要获取主机信息,其中遇到一些问题.在此做个记录,以便以后查阅. 在该监控系统中,想要做到主机的CPU.内存.磁盘.网络.线程.JVM内存.JVM GC 等维度的监控,J ...
java获取ip地址以及获取浏览器信息工具
/*** 获取ip地址*/public static String getIp(HttpServletRequest request) {String ipAddress = request.getH ...
日期转换工具+获取当年节假日信息很简单
//封装成json 自带的JSON.stringify()会崩溃不知道为什么 function Arr2Json(arr) {var str = "{";var i = 1;for ...

SSLScan工具获取SSL信息

SSLScan工具获取SSL信息相关推荐

最新文章

热门文章

SSLScan工具 获取SSL信息

SSLScan工具 获取SSL信息相关推荐

最新文章

热门文章

SSLScan工具获取SSL信息

SSLScan工具获取SSL信息相关推荐