口试管：用了HTTPS就安全了吗？HTTPS 会被抓包吗？，2024年最新写得太好了
[*] 服务端通过私钥对随机数举行解密
[*] 服务端通过客户端传入的随机数构造对称加密算法，对返回效果内容举行加密后传输
为什么数据传输是用对称加密？
首先，非对称加密的加解密效率黑白常低的，而 http 的应用场景中通常端与端之间存在大量的交互，非对称加密的效率是无法继承的；
别的，在 HTTPS 的场景中只有服务端保存了私钥，一对公私钥只能实现单向的加解密，以是 HTTPS 中内容传输加密采取的是对称加密，而不黑白对称加密。
为什么需要 CA 认证机构颁发证书？
HTTP 协议被认为不安全是因为传输过程容易被监听者勾线监听、伪造服务器，而 HTTPS 协议紧张解决的便是网络传输的安全性问题。
首先我们假设不存在认证机构，任何人都可以制作证书，这带来的安全风险便是经典的 “中心人攻击” 问题。
“中心人攻击”的具体过程如下：
https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9CYXE1bFlwSXc3VW1vMlVKZjZBRWZDbDdFaWF4NVpmNEJ5UExWZlhlcmJIRG9IS1BxRUVWeWRlR3hvODY5Uk1mS2M0RzRoUE1NaGdiVzN4eFJBTEpUS2cvNjQw?x-oss-process=image/format,png
过程原理：
[*] 本地哀求被挟制（如DNS挟制等），全部哀求均发送到中心人的服务器
[*] 中心人服务器返回中心人自己的证书
[*] 客户端创建随机数，通过中心人证书的公钥对随机数加密后传送给中心人，然后凭随机数构造对称加密对传输内容举行加密传输
[*] 中心人因为拥有客户端的随机数，可以通过对称加密算法举行内容解密
[*] 中心人以客户端的哀求内容再向正规网站发起哀求
[*] 因为中心人与服务器的通信过程是合法的，正规网站通过建立的安全通道返回加密后的数据
[*] 中心人凭借与正规网站建立的对称加密算法对内容举行解密
[*] 中心人通过与客户端建立的对称加密算法对正规内容返回的数据举行加密传输
[*] 客户端通过与中心人建立的对称加密算法对返回效果数据举行解密
由于缺少对证书的验证，以是客户端虽然发起的是 HTTPS 哀求，但客户端完全不知道自己的网络已被拦截，传输内容被中心人全部窃取。
欣赏器是如何确保 CA 证书的合法性？
1. 证书包罗什么信息？
[*] 颁发机构信息
[*] 公钥
[*] 公司信息
[*] 域名
[*] 有效期
[*] 指纹
[*] ……
2. 证书的合法性依据是什么？
首先，权威机构是要有认证的，不是任意一个机构都有资格颁发证书，不然也不叫做权威机构。别的，证书的可信性基于信托制，权威机构需要对其颁发的证书举行名誉背书，只要是权威机构生成的证书，我们就认为是合法的。以是权威机构会对申请者的信息举行审核，差异品级的权威机构对审核的要求也不一样，于是证书也分为免费的、自制的和贵的。
3. 欣赏器如何验证证书的合法性？
欣赏器发起 HTTPS 哀求时，服务器会返回网站的 SSL 证书，欣赏器需要对证书做以下验证：
[*] 验证域名、有效期等信息是否准确。证书上都有包罗这些信息，比较容易完成验证；
[*] 判断证书来源是否合法。每份签发证书都可以根据验证链查找到对应的根证书，操作系统、欣赏器会在本地存储权威机构的根证书，使用本地根证书可以对对应机构签发证书完成来源验证；
https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9CYXE1bFlwSXc3VW1vMlVKZjZBRWZDbDdFaWF4NVpmNEJoZmxhdGRtdU8zR0doeXpDTkJmcFl3Y3pLenVoYllDTzladkkwR254ejF0aWJ0QlZONHMyaWJidy82NDA?x-oss-process=image/format,png
[*] 判断证书是否被窜改。需要与 CA 服务器举行校验；
[*] 判断证书是否已吊销。通过CRL（Certificate Revocation List 证书注销列表）和 OCSP（Online Certificate Status Protocol 在线证书状态协议）实现，此中 OCSP 可用于第3步中以减少与 CA 服务器的交互，提高验证效率
以上恣意一步都满意的情况下欣赏器才认为证书是合法的。
这里插一个我想了很久的但其实答案很简朴的问题：
既然证书是公开的，假如要发起中心人攻击，我在官网上下载一份证书作为我的服务器证书，那客户端肯定会认同这个证书是合法的，如何避免这种证书冒用的情况？
其实这就黑白加密对称中公私钥的用处，虽然中心人可以得到证书，但私钥是无法获取的，一份公钥是不大概推算出其对应的私钥，中心人即使拿到证书也无法伪装成合法服务端，因为无法对客户端传入的加密数据举行解密。
4. 只有认证机构可以生成证书吗？
假如需要欣赏器不提示安全风险，那只能使用认证机构签发的证书。但欣赏器通常只是提示安全风险，并不限定网站不能访问，以是从技术上谁都可以生成证书，只要有证书就可以完成网站的
HTTPS 传输。比方早期的 12306 采用的便是手动安装私有证书的形式实现 HTTPS 访问。
https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9kNXBhdFFHejhLZXZsU3NQMnlDVnhSUWxNUjNKRFNzTDFpYkdPd3VpY21vOTlGblRiZzJiZjM0azRHaWFocUd2Q0Y5emNtSll2OE1nN0JpYnVaSmVpYVM5VlVnLzY0MA?x-oss-process=image/format,png
本地随机数被窃取怎么办？
证书验证是采用非对称加密实现，但是传输过程是采用对称加密，而此中对称加密算法中紧张的随机数是由本地生成而且存储于本地的，HTTPS
如何保证随机数不会被窃取？
其实 HTTPS 并不包罗对随机数的安全保证，HTTPS
保证的只是传输过程安全，而随机数存储于本地，本地的安全属于另一安全范畴，应对的措施有安装杀毒软件、反木马、欣赏器升级修复毛病等。
用了 HTTPS 会被抓包吗？
HTTPS 的数据是加密的，常规下抓包工具代理哀求后抓到的包内容是加密状态，无法直接检察。
但是，正如前文所说，欣赏器只会提示安全风险，假如用户授权仍然可以继续访问网站，完成哀求。因此，只要客户端是我们自己的终端，我们授权的情况下，便可以组建中心人网络，而抓包工具便是作为中心人的代理。通常
HTTPS
抓包工具的使用方法是会生成一个证书，用户需要手动把证书安装到客户端中，然后终端发起的全部哀求通过该证书完成与抓包工具的交互，然后抓包工具再转发哀求到服务器，末了把服务器返回的效果在控制台输出后再返回给终端，从而完成整个哀求的闭环。
自我先容一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里不停到现在。
深知大多数网络安全工程师，想要提拔技能，每每是自己探索成长，但自己不成体系的自学效果低效又漫长，而且极易遇到天花板技术停滞不前！
因此收集整理了一份《2024年网络安全全套学习资料》，初志也很简朴，就是希望可以或许资助到想自学提拔又不知道该从何学起的朋友。
https://img-blog.csdnimg.cn/img_convert/06bbdb23d5e386aa5a1c77d410e5360e.png
https://img-blog.csdnimg.cn/img_convert/2228de02f8a30ef0cb2765733b37ae99.png
https://img-blog.csdnimg.cn/img_convert/9d85bc6ce7b988bcd85f0cd3cce57816.png
https://img-blog.csdnimg.cn/img_convert/48ba428859c75a4b4558ed7ef5a6d22a.png
https://img-blog.csdnimg.cn/img_convert/127bf4154c132af314e2a0def8bf36fe.png
https://img-blog.csdnimg.cn/img_convert/20bdb4838268d9680ab316d4545665c6.png
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提拔的进阶课程，根本涵盖了95%以上网络安全知识点，真正体系化！
由于文件比较大，这里只是将部门目次大纲截图出来，每个节点内里都包罗大厂面经、学习笔记、源码课本、实战项目、讲授视频，而且后续会连续更新
假如你以为这些内容对你有资助，可以添加VX：vip204888 （备注网络安全获取）
https://img-blog.csdnimg.cn/img_convert/7f3ac4eac5d8fd9183e87b5d2bba1375.png
如何自学黑客&网络安全
黑客零基础入门学习路线&规划
初级黑客
1、网络安全理论知识（2天）
①了解行业相干配景，远景，确定发展方向。
②学习网络安全相干法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常紧张）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：自动/被动信息搜集、Nmap工具、Google Hacking
③毛病扫描、毛病使用、原理，使用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和下令
②Kali Linux系统常见功能和下令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模子、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web毛病原理与防御：自动/被动攻击、DDOS攻击、CVE毛病复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web毛病扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，假如学到这里，你根本可以从事一份网络安全相干的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；假如等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
假如你想要入坑黑客&网络安全，笔者给各人预备了一份：282G全网最全的网络安全资料包评论区留言即可领取！
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程本事是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络情况，当常用工具不能满意实际需求的时候，每每需要对现有工具举行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备肯定的编程本事。在分秒必争的CTF比赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程本事.
假如你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库举行编程学习；搭建开发情况和选择IDE,PHP情况推荐Wamp和XAMPP， IDE剧烈推荐Sublime；·Python编程学习，学习内容包罗：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写毛病的exp,然后写一个简朴的网络爬虫；·PHP根本语法学习并誊写一个简朴的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的结构或者CSS。
8、超等黑客
这部门内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。
https://img-blog.csdnimg.cn/img_convert/3fd39c2ba8ec22649979f245f4221608.webp?x-oss-process=image/format,png
网络安全工程师企业级学习路线
https://img-blog.csdnimg.cn/img_convert/931ac5ac21a22d230645ccf767358997.webp?x-oss-process=image/format,png
如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的
视频配套资料&国表里网安书籍、文档&工具
当然除了有配套的视频，同时也为各人整理了各种文档和书籍资料&工具，而且已经帮各人分好类了。
https://img-blog.csdnimg.cn/img_convert/153b2778a3fe5198265bed9635d63469.webp?x-oss-process=image/format,png
一些笔者自己买的、其他平台白嫖不到的视频教程。
https://img-blog.csdnimg.cn/img_convert/32eb4b22aa740233c5198d3c161b37e8.webp?x-oss-process=image/format,png
一个人可以走的很快，但一群人才气走的更远。岂论你是正从事IT行业的老鸟或是对IT行业感爱好的新人，都欢迎扫码加入我们的的圈子（技术交换、学习资源、职场吐槽、大厂内推、口试辅导），让我们一起学习成长！
https://img-blog.csdnimg.cn/img_convert/8aa218bae56a9c289c8bb77b12f63fd2.png
?x-oss-process=image/format,png)
一些笔者自己买的、其他平台白嫖不到的视频教程。
https://img-blog.csdnimg.cn/img_convert/32eb4b22aa740233c5198d3c161b37e8.webp?x-oss-process=image/format,png
一个人可以走的很快，但一群人才气走的更远。岂论你是正从事IT行业的老鸟或是对IT行业感爱好的新人，都欢迎扫码加入我们的的圈子（技术交换、学习资源、职场吐槽、大厂内推、口试辅导），让我们一起学习成长！
[外链图片转存中…(img-Dlxrn5qx-1713097391210)]
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]