HTTPS 响应正文 - 它是否安全？答案

【问题标题】：HTTPS Response body - Is it secured?HTTPS 响应正文 - 它是否安全？
【发布时间】：2009-07-10 19:28:32
【问题描述】：

想了解响应的 HTTPS 正文部分是否已加密。另外，在 HTTPS 请求中，标头是否以纯文本/加密形式传输？

是否有任何工具可以让我在不解密的情况下观察原始 HTTPS 流量。

【问题讨论】：

【解决方案1】：

正如其他帖子所说 - HTTPS 是在 TCP/IP 层之上包裹在 SSL 中的 HTTP（明文）。 HTTP 消息的每一部分都是加密的。所以堆栈看起来像：

TCP/IP

SSL

HTTP

就加密而言，无法看到带有 SSL 的 HTTP 消息的任何部分。

如果您需要调试流量，我建议如下：

使用网络流量观察器（如 Ethereal）来观察连接的创建。这将让您看到连接已启动。它将向您显示 SSL 握手的开始、失败的详细信息以及会话建立时的密文链。密文不是很有用，但它的存在让您知道数据在来回传输。
在设置 HTTPS 之前，以明文方式调试 http 层。我曾经使用过的每个应用程序或 Web 服务器都允许我关闭 HTTPS，并以明文形式托管相同的 URL 集。这样做，并使用相同的网络工具观看。
如果双方都使用 HTTP 进行通信，并且 HTTPS 上的一切都中断了，那么是时候查看 SSL 会话建立或可能会中断流的两点之间的任何东西了。

【讨论】：

【解决方案2】：

HTTPS 是基于 SSL 的 HTTP。所以整个 HTTP 通信都是加密的。

【讨论】：

这对于发帖者的问题无关紧要，但我不得不指出浏览器会将 URL 和后续查询字符串存储在其历史记录中。因此，当通过 SSL 进行通信时，浏览器可能会保存任何查询字符串值。换句话说，即使您通过 SSL 进行通信，也不要将敏感信息放在查询字符串中。
我不确定，但我认为服务器在他的访问日志中也是这样做的。
我更关心代理服务器，它们可以记录 url 甚至请求响应。所以，我肯定知道 url 没有加密，那么 headers 和 response body 呢？
整个 HTTP 通信都是加密的。 URL 是 HTTP 的一部分。因此它们也被加密了。只是客户端和服务器的 IP 地址不是。
代理服务器看不到 HTTPS URL、请求或响应。他们看到的只是一个 HTTP CONNECT 请求。您可以使用 Fiddler 准确查看代理所看到的内容，而无需打开远程代理无法使用的“解密 HTTPS 流量”选项。

【解决方案3】：

YES https 流已加密。初始化 https 连接时，它使用 strong 加密算法进行握手并与其他部分就流的强度较低但速度更快的加密算法达成一致。

要观察网络数据包，您可以使用像http://www.ethereal.com/ 这样的嗅探器。

【讨论】：

【解决方案4】：

使用 HTTPS 时，请求和回复的全部内容都经过加密，包括标头和正文。明文的 HTTP 协议发生在 TLS or SSL 之上，因此线路上的内容是加密的。

【讨论】：

【解决方案5】：

整个 HTTP 会话都经过加密，包括标头和正文。

任何数据包嗅探器都应该能够向您显示原始流量，但对于没有深入了解 SSL 的人来说，它只是看起来像随机字节，即使如此，您也不会超越将密钥交换视为第三个派对。

【讨论】：

【解决方案6】：

任何数据包捕获/嗅探工具都可以向您显示原始 HTTPS 流量。要查看实际内容（通过解密），请使用 Fiddler。

【讨论】：

【解决方案7】：

通过 https 发送的任何内容都使用 SSL 传输加密

尝试使用 WireShark 或 Fiddler 作为有用的工具。

【讨论】：