为何能抓到网站https传输的明文密码？------顺便说说“知乎”和“支付宝”的安全性对比

  在多数人看来， https是安全的， 由于https和secure http嘛， 真的是这样吗？

        一些人认为， https是加密传输， 因此抓到包也没有用， 是密文的。 真是的这样吗？ 我今天无心抓到了某网站登陆的密码， 是明文的， 有点吃惊， 结果上网查了一下， 发现仍是有很多网站在用https传明文密码。

 

        下面， 咱们以知乎的登陆过程来看看，输入密码后， fiddler抓包以下：

 

 

        竟然是明文密码！！！

        如今你要问， 为何用https抓包, 仍是能看到明文内容呢？ 这里咱们要理解https的栈流程， 梳理一下就知道， 加密层位于http层和tcp层之间， 因此抓到的http层的数据并无加密。 同理， 在后台接收端， 经历解密后， 到达http层的数据也是明文。 要注意， https不是对http报文进行加密， 而是对业务数据进行加密， 而后用http传输。 

        我斗胆， 知乎不敢在后台存用户的明文密码。 而注册过程和登陆的过程， 知乎后台是能拿到用户密码的， 因此说， 知乎的后台开发同窗， 仍然有机会接触到用户的文明密码， 这是很危险的啊。 怎么让用户放心呢？ 另外， 客户端能抓到明文， 坏人很容易植入木马， 获取到登陆的密码， 因此， 用https传输密码， 也是不安全的。

 

        另一个某网站（在此， 我不点名）竟然也是用https传输明文， 呵呵哒。 原本， 用哈希加盐就能解决问题。

 

        咱们来看下支付宝， 你们猜猜结果， 若是支付宝也是这样， 估计阿里就不是阿里了， 来抓包看看：

 

---------------------
做者：stpeace
来源：CSDN
原文：https://blog.csdn.net/stpeace/article/details/78073288
版权声明：本文为博主原创文章，转载请附上博文连接！