SSLStrip reindirizza troppe volte

Question

SSLStrip reindirizza troppe volte

#1 da (1 voti)

1

Sto tentando di utilizzare SSLStrip su un sito Web con HSTS disattivato, in particolare digito l'URL del sito web con http:// e si rifiuta di caricare Safari, Chrome e un browser cinese casuale a causa di troppi reindirizzamenti.

Ho provato questo con due vittime: Safari su un iPhone con iOS 11.1 e su un telefono Android con Nougat. In entrambi i casi, non riesco ad accedere al sito web. Ho controllato che l'installazione funzioni perché sono in grado di vedere le richieste POST crittografate nel mio file sslstrip.log .

Ecco le richieste e le risposte da http://my.mit.edu per esempio:

Richiesta:
Host: my.mit.edu User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.12; rv:58.0) Gecko/20100101 Firefox/58.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Connection: keep-alive Upgrade-Insecure-Requests: 1

Risposta:
Transfer-Encoding: chunked Connection: Keep-Alive Location: http://my.mit.edu Server: BigIP

Sono state eseguite 20 richieste e risposte identiche.

Questo richiede a firefox di dare questo errore:

Firefox has detected that the server is redirecting the request for this address in a way that will never complete.

Penso sia anche importante sottolineare che sto affrontando questo solo su questo dominio e sslstrip sta effettivamente funzionando bene sul mio sito web personale .

tls sslstrip

posta Palash Taneja 14.03.2018 - 15:12

fonte

1 risposta

Leggi altre domande sui tag tls sslstrip

Il file di output di Bettercap è vuoto dopo l'acquisizione Il KeyPairGenerator EC standard JDK è adatto all'uso con gli algoritmi ECDSA e ECDH?

score 1 · Accepted Answer

La causa del problema è il server che invia un URL imprevisto (e non valido) nell'intestazione Location:

Location: http://my.mit.edu

Questo URL non include un percorso, cioè anziché http://host/ è solo http://host . I browser aggirano implicitamente questo problema ma sslstrip non se lo aspettava. Ciò si traduce nell'utilizzo di http://host (senza percorso) mentre digitano il set interno in cui cerca quando utilizzare HTTPS sul lato server. L'URL che ottiene dalla richiesta è invece http://host/ (con percorso) e pertanto la ricerca non riesce e non utilizza HTTPS sul server. Ciò fa sì che il server rilasci nuovamente una risposta di reindirizzamento a HTTPS che mostra lo stesso URL errato ecc. - con conseguente reindirizzamento infinito che vedi.

Questo non è un grosso problema a mio parere, dal momento che sslstrip è stato principalmente progettato come prova del concetto per dimostrare un problema invece di essere uno strumento di attacco. Ma comunque, il problema può essere facilmente risolto con questa patch .