Los envíos de formularios a través de HTTPS no están cifrados?

Question

Los envíos de formularios a través de HTTPS no están cifrados?

#1 de Lucas Kauffman (8 votos)
#2 de ndrix (2 votos)

3

Mi pregunta es sobre el envío de formularios HTTPS. Uno de nuestro sitio web está utilizando HTTPS, mostramos la página de inicio de sesión al usuario a través del protocolo HTTPS.

Cuando se envía el formulario, si intentamos interceptar la solicitud utilizando una herramienta llamada "Burp Suite" antes de enviarla al servidor, veo que los datos del formulario no están cifrados.

¿Es este el comportamiento correcto? o es algo así como que la solicitud se está protegiendo solo en la transmisión a través de la red?

web-application tls burp-suite

pregunta user37536 19.01.2014 - 15:57

fuente

2 respuestas

Lea otras preguntas en las etiquetas web-application tls burp-suite

¿Puede la autenticación en las redes sociales a través de VPN anular el propósito de este último? Considere un host de archivos de "conocimiento cero" como mega.co.nz. ¿Cómo se puede evitar que los usuarios suban contenido sin cifrar?

score 8 · Answer 1

Burp es un proxy interceptor, que le permite inspeccionar y modificar el tráfico entre su navegador y la aplicación de destino. Burp en realidad está sirviendo su propio certificado para que pueda ver lo que está dentro de la solicitud. Normalmente, habrá aceptado una advertencia de seguridad para un certificado emitido por Portswigger, este es el certificado generado por Burp.

Si desea evaluar su aplicación, debe utilizar Wireshark en su lugar y observar las solicitudes HTTP. Esos no deberían ser visibles para ti.

score 2 · Answer 2

Normalmente, cuando inicia la Intercepción, su conjunto de eructos proporcionará su propio certificado SSL que creará una "advertencia" para su navegador. Usando esto, está hablando con Burp antes de que lo envíe al sitio de destino.

En otra nota, una vez que el usuario ha iniciado sesión, no vuelve a cambiar a HTTP, ¿verdad? (Como dijo: "mostramos la página de inicio de sesión al usuario a través del protocolo HTTPS" )