“简单原理”揭秘演示，访问任意 HTTP 页面各大网站 Cookie 被劫持

[mytry]

继昨天的 《直到现在仍有不少人认为，访问没隐私没价值的网页，不是 HTTPS 问题不大。。。》

为了简单模拟“被劫持”的场景，这里就不搭 WiFi 之类的设备了，直接用最快捷的办法：浏览器 HTTP 代理。（事实上用代理时被劫持也是很常见的~）

我在自己的云主机上，临时开了一个 HTTP 服务：

主机：47.104.178.133 （或者直接填域名 alert.fun ）

端口：8080

为了节省流量，就不开反向代理了，所以访问任意 HTTP 网站都会变成这个样子：

点击查看结果，里面就是嗅探到的各大网站 Cookie：

当然，这里只取了 10 个站点测试而已。100 个也一样，只是多耗一些流量而已。

这个页面比较简单，没做授权功能，只要提交和查看时 IP 没变就行。所以测试前保管好隐私，测完及时清理，泄露概不负责~

（由于这个云主机流量有限，请勿恶意刷新。余额用光就下线了）

[XFLx2]

《直到现在仍有不少人认为，只要是个人，只要不上马路待在家里就不会出车祸》。错别字，干！

[Artists]

同源策略

[takeeasy]

不想争论“标题党”的事情
LZ 这个是有大前提的，中间人攻击无处不在（事实上普遍程度正常人根本想象不到），很多人觉得自己的电脑没中马，没被黑客攻击，只用自己家的网络就很安全了，我只能说 too young，你随时随地都在被攻击（没错）。
我就不信 v 站这么多人没经历过以下诡事：
1. 微博在自己不知情的时候突然关注了一个人，点了一个赞？
2. 你的淘宝莫名其妙加了一个收藏，加了个购物车商品？
3. ...

有利益的地方就有人敢冒风险，不过对方是人，还是机构，还是（你懂得。。）

[Levi233]

@jadec0der 麻烦你搞清楚，我，包括我在内喷楼主的所有人，谁说了中间人没危害这个话题？

现在根本不是讨论中间人的事情，因为中间人无法避免。目前的唯一解决办法除了全面普及 https 其余的都是治标不治本。

这个问题的本质是所谓的“各大网站”没有全面普及 https 禁用 http，导致恶意用户在网页内请求那些各大站点非 https 链接，从而导致 cookie 泄露，全站使用 ssl 禁用 http 是没有这个问题的，不然证书的存在毫无意义！

而楼主的主题是“随便点进一个 http 垃圾站是有危害的”

这个危害本质是中间人危害，而不是跨域漏洞什么的。

既然中间人无处不在 各大站点在没全面普及 https 的时候，无论你点不点 http 垃圾站，你的 cookie 都会被中间人，楼主获取 weibo 的 cookie 也是利用了 weibo 的某个 http 链接。

而楼主所说的信息泄露的责任主体是“ http 垃圾站”，而从中间人的角度来看，责任主体是“各大站点”没有全面普及 https。

全面普及 https 后除非劫持证书，不然是不会发生“随便点一个 http 站点，各大网站信息泄露的”

所以回到话题，中间人获取我的信息，该获取的都能获取到，跟我点 http 垃圾站有什么关系？什么叫“点了 http 站点你各大网站 cookie 瞬间泄露”

这里抛出个问题，点一个存在恶意的 https 网页就不会导致没普及 https 的各大网站的 cookie 泄露了么？

[z54749412]

@takeeasy 这个大前提有什么用呢？你挂着代理，还不让代理拿到你的信息？ 就像你说你把钱存银行，还不能让银行知道你是谁？也不能定时给你涨利息，也不能让银行知道你的账号？

[lsylsy2]

@Levi233

>>所以回到话题，中间人获取我的信息，该获取的都能获取到，跟我点 http 垃圾站有什么关系？什么叫“点了 http 站点你各大网站 cookie 瞬间泄露”

假如用户不点 HTTP 垃圾网站，中间人就无法“通过修改网页内容、控制用户的浏览器去用 HTTP 明文访问大网站”，用户假如只上 HTTPS 网站的话，中间人获取不到（或者至少难很多）

>>这里抛出个问题，点一个存在恶意的 https 网页就不会导致没普及 https 的各大网站的 cookie 泄露了么？

网页本身本来就啥都获取不到，只有中间人能获取的到。
只不过 http 情况下，中间人可以把用户访问的任意网站“变成”恶意网站。

[lsylsy2]

当然，LZ 标题描述确实有不准确的地方，被获取 cookie 的核心风险还是“大网站”没有做好全站强制 https。
但是“在有中间人的环境下，访问一个 http 网站”是触发这个风险的重要步骤。

[jadec0der]

@Levi233 你如果点回 lz 的第一个帖子，就会发现一个硕大的「禁用第三方 cookie 」

「而楼主所说的信息泄露的责任主体是“ http 垃圾站”」

[cod]

@zzzzzzZ 给跪了，描述太精准

[binux]

@lsylsy2 #126 就算你不点任何 http 网站，windows 依旧会自动访问 http://www.msftconnecttest.com/redirect

[Neoth]

其实这个楼主，自己脑子是混乱的。他说的是四件事：
1，运营商劫持 dns，将你浏览器访问引导到运营商制作的主页，现在运营商 isp 插的流氓广告就是这么个玩意
2，运营商在此页面隐藏位置设置了个 iframe，或者就直接插代码，里面放了大量网站登录入口链接，比如淘宝，百度，腾讯，而且必须是 http 的 link
3，当你的浏览器访问劫持页面--比如运营商现在作的流氓广告，那么就激活这个页面上各大网站登录，cookie 被明文 http 送出去
4，运营商用最简单嗅探器就能拿到你的 各大网站 http 登录 cookie

[SP00F]

@jadec0der #117 我们理解一个技术理解危害，只要经过别人就肯定会有攻击的风险。只是楼主这个标题就让很多人吐槽了……

起码描述场景应该清楚一点吧