क्या HTTPS से अधिक URL में कोई हमलावर डेटा को सूँघ सकता है?

19

यदि कनेक्शन HTTPS से अधिक है तो क्या URL में शामिल डेटा को सुरक्षित माना जा सकता है? उदाहरण के लिए, यदि कोई उपयोगकर्ता ईमेल में एक लिंक पर क्लिक करता है जो https://mysite.com?mysecretstring=1234 पर इंगित करता है, तो क्या किसी हमलावर के लिए URL से "mysecretstring" हड़पना संभव होगा?

security https url

— जेम्स कैड
स्रोत

27

URL सहित संपूर्ण HTTP अनुरोध (और प्रतिक्रिया) एन्क्रिप्ट किया गया है।

लेकिन हां, एक ऐसा तरीका है जिससे हमलावर पूरा URL पकड़ सकता है: रेफर हेडर के माध्यम से। यदि कोई बाहरी फ़ाइल (जावास्क्रिप्ट, CSS, आदि) है जो HTTPS से अधिक नहीं है, तो पूरा URL Referer हैडर में सूँघा जा सकता है। यदि उपयोगकर्ता उस पृष्ठ के लिंक पर क्लिक करता है जो HTTP (कोई SSL) पृष्ठ की ओर जाता है।

इसके अलावा, DNS अनुरोधों को एन्क्रिप्ट नहीं किया गया है, इसलिए एक हमलावर को पता चल सकता है कि उपयोगकर्ता mysite.com पर जा रहा है।

— जुलिएन
स्रोत

जब आप "पूर्ण URL" कहते हैं, तो क्या इसमें पैरामीटर (जैसे mysecretstring = 1234) शामिल हैं?

— sampablokuper

— रैफर

1

इसलिए, कोई बाहरी चित्र, css, js लोड न करें। गुप्त स्ट्रिंग का उपयोग / स्टोर करें, और गुप्त स्ट्रिंग से छुटकारा पाने के लिए आंतरिक रूप से पुनर्निर्देशित करें। उसके बाद बाहरी यूआरएल का उपयोग कर सकते हैं।

— नील मैकगिगन

14

नहीं, वे कनेक्शन देख सकते हैं यानी mysite.com लेकिन नहीं। mysecretstring = 1234 https सर्वर के लिए सर्वर है

— क्रिस
स्रोत

6

वास्तव में वे यह भी नहीं देख सकते हैं कि आप किस डोमेन नाम से जुड़ रहे हैं लेकिन किस आईपी पते से। चूंकि एसएसएल प्रमाणपत्र केवल यथोचित रूप से 1: 1 डोमेन-नाम-से-आईपी पते पर काम करते हैं, इसलिए यह सबसे अधिक संभावनाहीन है। इसके अलावा अगर हमलावर आपके DNS ट्रैफ़िक को सूँघ सकता है, तो यह प्रकट हो सकता है। GET और POST पैरामीटर HTTPS ट्रैफिक की तरह सुरक्षित हैं: यदि आप क्लाइंट हैं और सर्वर सर्टिफिकेट एक अप्रमाणित वैध है, तो डेटा थर्ड पार्टी द्वारा ईवेर्सड्रॉपिंग के खिलाफ सुरक्षित है।

— पॉल

0

उन्हें एन्क्रिप्शन कुंजी की आवश्यकता होगी। सैद्धांतिक रूप से यह संभव नहीं है लेकिन कोई भी अच्छा हमला हो सकता है। यह एसएसपी का पूरा उद्देश्य है कि सर्वर से भेजे जाने वाले सभी डेटा को सूंघने में सक्षम होने के लिए एन्क्रिप्ट किया जाए।

— क्रिस
स्रोत

0

अपने वेबलॉग सुरक्षित रखें, या, उन्हें भी न लिखें। यदि आपको दूरस्थ शोषण मिलता है जहां लॉग पढ़ा जा सकता है, तो लॉग में कोई भी URL डेटा दिखाई देगा।

पोस्ट डेटा लॉग में नहीं है।

— रयान

यह सब बहुत विन्यास पर निर्भर है =)

— स्पेस

-1

केवल तभी वे किसी तरह के स्पूफिंग के जरिए https ऑउटफिट को सूँघने में सक्षम होते हैं

— Jimsmithkka
स्रोत

क्या आपका आशय मध्य-आक्रमण से है? यह सूँघने से अधिक है, हमलावर को सर्वर को लगाने की आवश्यकता है।

— जूलियन

हाथ मिलाने के लिए अच्छी तरह से अपने MiM, लेकिन यह सिर्फ सूँघने के बाद, विशिष्ट उपकरण हैम्स्टर और फेर्रेट है जिसे मैंने प्रदर्शित किया है

— Jimsmithkka