检查客户端和服务器之间的TLS

Question

有一个网站上没有HTTPS证书，我已经检查了它是传输用户名密码的明文。

我使用IBM Appscan和Nexpose扫描了系统和应用程序。

IBMApp扫描(Web漏洞扫描器)没有检测到HTTPS，我可以通过在浏览器上打开链接来确认HTTPS

(漏洞扫描工具)检测到自签名证书是在端口443上实现的，它试图用端口https://url:443打开网页，但是页面重定向到普通的http (没有证书)，n曝露也检测到了TLS 1.0。

应用程序供应商说在后端实现了TLS。

如何验证TLS是在后端实现的？但还有别的办法吗

Answer 1

使用OpenSSL尝试连接和转储证书(如果有的话)。

openssl s_client -connect <server>:<port>

如果连接失败，则不会实现TLS。如果它连接，那么您将得到证书，您可以检查它是什么样子。