攻击者能否通过 HTTPS 嗅探 URL 中的数据？

Question

如果连接是通过 HTTPS 建立的，那么 URL 中包含的数据是否可以被视为安全？例如，如果用户单击电子邮件中指向https://mysite.com?mysecretstring=1234的链接，攻击者是否有可能从 URL 中获取“mysecretstring”？

Answer 1

整个 HTTP 请求（和响应）都经过加密，包括 URL。

但是是的，攻击者可以通过一种方式获取完整的 URL：通过 Referer 标头。如果有任何不通过 HTTPS 的外部文件（Javscript、CSS 等），则可以在 Referer 标头中嗅探完整的 URL。如果用户单击页面中指向 HTTP（无 SSL）页面的链接，则相同。

此外，DNS 请求未加密，因此攻击者可以知道用户正在访问 mysite.com。

Answer 2

不，他们可以看到连接，即 mysite.com 但看不到 ?mysecretstring=1234 https 是服务器到服务器

事实上，他们甚至看不到您连接的是哪个域名，而是看不到哪个 IP 地址。由于 SSL 证书只能在 1:1 的域名到 IP 地址关系上合理地工作，因此这很可能无关紧要。此外，如果攻击者可以嗅探您的 DNS 流量，则可能会发现这一点。GET 和 POST 参数与 HTTPS 流量一样安全：如果您是客户端并且服务器证书有效且不受损害，则数据是安全的，不会被第三方窃听。 (6认同)