HTTPS面对中间人攻击，难道真的毫无还手之力？

HTTPS真的能挡住中间人吗？

先说一句——别把HTTPS想成是金钟罩铁布衫，它也会被人撕开一个小口子。别说我瞎扯， 复盘一下。 实际操作里你只要点一下「信任这个证书」黑客立马变成了你家客厅里的“亲戚”。

一、TLS握手的戏码：谁在演？

客户端先给服务器送上一堆随机数和加密套件列表，服务器甩给你自己的公钥证书。 绝绝子！ 如果这张证书被伪造了后面的对称密钥就会被中间人悄悄偷走——这就是MITM的核心。

很多人以为只要浏览器弹窗提醒「此连接不平安」就够了其实大多数用户直接点「继续访问」。

二、 常见的「假证书」套路

• 企业内部代理装了自签根证书，却忘记在所有终端上部署。
• 公共Wi‑Fi热点用透明代理截获HTTPS流量，然后用Fiddler之类的工具生成伪CA。
• 恶意软件偷偷在系统根存储里塞入DO_NOT_TRUST_FiddlerRoot。

三、我们还能怎么「硬刚」？

下面列出几招“临时救命”， 但请记住这些都不是万无一失的神仙操作：

1. 证书固定

APP里硬编码服务器公钥指纹，一旦出现不匹配就直接抛异常。 不过实现成本高，而且每次换证书都得重新打包更新，图啥呢？。

2. 使用HSTS + HPKP

看好你哦！ 让浏览器强制走HTTPS，并在第一次访问时缓存公钥哈希。可惜大部分现代浏览器已经不再支持HPKP。

3. 定期审计根证书库

打开Windows证书管理器（certmgr.msc)，手动检查是否有陌生的根CA。 摸个底。 发现异常马上删除并重启系统。

：抓包+解密的血泪史

下面这段文字来源于某位技术大佬的随手笔记——混杂着情绪、噪音和误导信息，请自行甄别：

Fiddler抓包步骤：

1. 启动Fiddler → Tools → Options → HTTPS → 勾选「Capture HTTPS CONNECTs」和「Decrypt HTTPS traffic」
2. 弹窗出现！点YES！
3. 如果没有弹窗，就去 Actions → Trust Root Certificate 手动安装。
4. 」选项， 请谨慎勾选)
5. 接着打开浏览器访问目标站点，看是否在 Fiddler 会话列表里出现「Tunnel to …」字样。如果出现，就说明抓包成功，否则请检查根证书是否真的被信任。

五、 产品对比表——挑选合适的SSL证书供应商

#	供应商名称	免费/付费	签发速度	兼容性
1️⃣	DigiCert 🔐	付费 $199~$999/年	10~30min	几乎全部主流浏览器 ✅
2️⃣	The SSL Store 🚀	免费/付费 $0~$149/年	5~15min	Chrome/Firefox/Edge ✅
3️⃣	Sectigo 🛡️	付费 $79~$299/年	7~20min	移动端兼容好 📱
4️⃣	ZySSL ⚡️ 免费 $0 / 付费 $49~$199 约10min 支持旧版IE 🚧
*以上数据均为2024年娱乐息，仅作参考，实际情况请自行核实。

六、情绪爆炸：我真的受够了！🤬💥

我明白了。 每次看到那行红字提示「此连接不平安」，我都想把键盘砸成碎片——但键盘砸了也不能让黑客停下来。于是只能哭着学会了自己签CA、自己写娱乐检测CRT吊销列表。

七、别把HTTPS当成终极防线！⚔️🚧

优化一下。 HTTPS是一层防护网，而不是钢铁长城。它可以阻止大多数

如果你还在相信“一键开启HTTPS就万无一失”，那你可能需要一次彻底的平安意识培训——或者直接把所有业务搬到离线环境去玩耍。 别忘了定期检查根证书库，及时更新Pinning规则，以及使用可靠的CA提供商。否则，当你正沉浸在“平安感”里时中间人已经悄悄把你的密码换成了自己的。

---

© 2026 互联网平安狂想曲 | 本文纯属个人观点，不代表任何组织立场，我跪了。