从HTTP到HTTPS,越快越好？

Question

如果我在"http://example.com/login"中使用GET动词有此页面:

<form action="https://example.com/login" method="post">
   <input type="text" name="login"/>
   <input type="password" name="pass"/>
   <input type="submit" value="Login"/>
</form>

这是一个安全漏洞吗？我的意思是,页面是HTTP,但在发送数据时,它使用HTTPS.我已多次阅读过登录页面中我应该要求HTTPS的内容,但我不明白为什么.

Answer 1

是的,它有缺陷.只要是用户看到的登录表单,您所拥有的就是安全.

由于您的登录表单不安全,我可以来代替我自己的恶搞登录表单并收集用户的登录详细信息,例如.通过中间人攻击.只有登录表单和目标页面都使用SSL时,登录系统才是安全的.

此外,它对用户来说看起来并不安全.用户在登录表单上查找挂锁符号,而您的用户没有.

Answer 2

是的,这是一个安全漏洞.

由于表单是通过HTTP提供的,因此需要在整个过程中进行编辑.例如,此编辑可以是附加的JavaScript,它将凭据发送到攻击者控制的服务器以及让浏览器正常登录.