SSLStrip redirige demasiadas veces

Question

SSLStrip redirige demasiadas veces

#1 de Steffen Ullrich (1 votos)

1

Estoy intentando usar SSLStrip en un sitio web que tiene HSTS deshabilitado, especifico específicamente la URL del sitio con http:// y se niega a cargar en Safari, Chrome y un navegador chino aleatorio debido a demasiados redireccionamientos.

He intentado esto con dos víctimas: Safari en un iPhone con iOS 11.1 y en un teléfono Android con Nougat. En ambos casos, no puedo acceder al sitio web. He comprobado que la configuración funciona, ya que puedo ver solicitudes POST cifradas en mi archivo sslstrip.log .

Aquí están las solicitudes y respuestas de http://my.mit.edu , por ejemplo:

Solicitud:
Host: my.mit.edu User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.12; rv:58.0) Gecko/20100101 Firefox/58.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Connection: keep-alive Upgrade-Insecure-Requests: 1

Respuesta:
Transfer-Encoding: chunked Connection: Keep-Alive Location: http://my.mit.edu Server: BigIP

Se realizan 20 solicitudes y respuestas idénticas.

Esto le pide a firefox que dé este error:

Firefox has detected that the server is redirecting the request for this address in a way that will never complete.

Creo que también es importante señalar que me enfrento a esto solo en este dominio y sslstrip en realidad funciona bien en mi sitio web personal .

tls sslstrip

pregunta Palash Taneja 14.03.2018 - 15:12

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls sslstrip

Bloquear solicitudes codificadas hexadecimales usando fail2ban Almacenar datos financieros básicos

score 1 · Accepted Answer

La causa del problema es que el servidor envía una URL inesperada (y no válida) en el encabezado de la ubicación:

Location: http://my.mit.edu

Esta URL no incluye una ruta, es decir, en lugar de ser http://host/ , solo es http://host . Los navegadores trabajan de manera implícita para solucionar este problema, pero sslstrip no lo esperaba. Esto se traduce en el uso de http://host (sin ruta), ya que introducen su conjunto interno donde busca cuándo usar HTTPS en el lado del servidor. La URL que recibe de la solicitud es, en cambio, http://host/ (con ruta) y, por lo tanto, la búsqueda falla y no usa HTTPS para el servidor. Esto hace que el servidor vuelva a emitir una respuesta de redireccionamiento a HTTPS que muestra la misma URL incorrecta, etc., lo que resulta en la redirección infinita que ve.

En mi opinión, este no es un problema importante ya que sslstrip se diseñó principalmente como prueba de concepto para demostrar un problema en lugar de ser una herramienta de ataque. Pero de todos modos, el problema se puede solucionar fácilmente con este parche .