【发布时间】：2021-11-04 22:57:41
【问题描述】：
我的端点附带 HTTPS，但如果我通过此端点发布用户凭据，它如何容易受到嗅探攻击？ HTTPS端点不够用还是需要其他一些实现？
如果我通过 REST 端点发布用户凭据。
声明 1：我的端点已启用 HTTPS。
声明2：传输通道是HTTPS加密的。
这两种说法有什么区别？
我正在通过启用 https 的 REST api 发送发布请求，即使在拦截开启时发布数据是可见的。
以下图片由我们的 VAPT 团队提供，称端点不安全，因为他们能够拦截流量并检索用户名和密码等发布数据。
【问题讨论】：
-
对。语境为王。那个截图是哪来的？那个拦截在哪里？是在客户端还是中间人？您是否在客户端上安装了证书以使拦截工作？你读过 Burp 手册吗？您是否只是在不知道它是如何工作的情况下运行了一个工具，然后在它工作时感到害怕？
-
我从 VAPT（漏洞评估和渗透测试）团队收到了这个。截图来自 Burp Suite。但我不知道他们用什么流程来进行相同的操作。
-
对。他们对那张截图说了什么其他？
-
他们说通过加密通道（HTTPS）传输数据，以避免被恶意用户拦截。就这样。他们也不知道怎么做？
-
这个问题现在到处都是并且脱节。你有几个问题合二为一。如果您的目标是弄清楚该屏幕截图代表什么漏洞，请询问 VAPT 团队。如果他们拦截了自己的流量，那么这不是漏洞。该屏幕截图需要相关性和上下文。