从应用程序中检测中间人

duf*_*ymo 9 security fiddler man-in-the-middle

我今天做了一个有趣的实验.

我在浏览器中打开了Amazon.com,登录,提起了Fiddler,并试图添加一张全新的信用卡.

我输入了我的信用卡号,到期日和持卡人姓名.当我提交请求时,我没有在Fiddler看到任何亚马逊的POST.用户界面表示提交我的信息时出现问题,我应该再试一次.

我重复了一遍并得到了相同的回应.

我关闭了Fiddler并点击提交.我的信息立即被接受.

我想知道亚马逊是如何完成这项壮举的.这是常识吗?是否有涉及证书的HTTP标头使其变得简单?

小智 1

我认为这是证书固定或类似的东西。服务器证书固定在应用程序中,因此应用程序仅接受它,而不接受任何其他证书,即使它们是有效的。