为什么 neverssl.com 会将您重定向到随机子域？

Question

我正在阅读这个引人入胜的答案，并感到困惑的是，每次我进入neverssl.com网页时，它都会将我重定向到一个看似随机的子域。例如，登陆页面总是类似于http://bcdfhkmlnvtxwrzs.neverssl.com/online. 我还注意到重定向是使用 javascript 完成的，因为当我禁用它时它停止工作。

所以我想知道重定向到随机子域如何帮助用户重定向到强制门户，这是网站的唯一目的。

Answer 1

如果您尝试访问 HTTPS 站点，拦截俘虏门户将不起作用。您只会得到一个 SSL 错误页面。

如果您通过纯 HTTP 而不是 HTTPS 访问网站，该网站可以做的一件事就是包含一个 HSTS 标头。这将使浏览器始终通过 HSTS 访问，而从不尝试 HTTP。

这意味着您的浏览器可能永远不会看到强制门户页面，因此将无法登录。

此站点的目的是提供一个没有 HSTS 标头的页面，以便在需要时始终重定向到强制门户。

随机 URL 将阻止您的浏览器尝试从缓存加载页面。由于您的浏览器之前从未见过该 URL，它会始终尝试从网络获取页面，因此给强制门户提供了工作的机会。