减轻HSTS旁路

Question

朋友,

有没有办法防止Apache/RHEL环境中的HSTS绕过。我有一个带有域有效SSL证书的SSL服务器。非HTTPS请求被重定向到HTTPS。必要的报头，包括内容安全策略，严格传输安全，X帧已经被应用.

有什么想法吗？

添加一个示例链接说明如何实现HSTS旁路

https://null-byte.wonderhowto.com/how-to/defeating-hsts-and-bypassing-https-with-dns-server-changes-and-mitmf-0162322/

提前感谢

Answer 1

在这里提交您的域https://hstspreload.org/

这就停止了大多数现代浏览器，甚至试图通过http连接。

使用set来验证，使用firefox很容易设置

sslstrip.py -l <listenPort>

然后设置firefox将所有内容代理到该端口。

那么，你应该看到攻击在起作用。