passwords - 如果我可以在 Fiddler Webform session 中看到我的密码，这是否意味着它正在发送纯文本？

Question

如果我可以在 Fiddler Webform session 中看到我的密码，这是否意味着它正在发送纯文本？
或者我怎么知道网站是否以纯文本形式发送密码？

Answer 1

如果你能看到它，并且协议(protocol)是 HTTP，那么它是作为纯文本发送的 .但是，即使您无法将其视为纯文本，也并不意味着它已安全加密并且可能很容易恢复，就像 HTTP Basic Authentication 的情况一样。 (除非与 HTTPS 结合使用，请参见下文)。

基本身份验证看起来像

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

这不是纯文本，而只是 base 64 编码，即直接解码回纯文本。

但是， 如果协议(protocol)是 HTTPS，那么你看到的纯文本是完全加密的 到您的机器和服务器之间的任何嗅探器。这包括完整的 http 请求和响应:Url、Http header 和 Http 正文。所有可以“嗅探”的都是使用的 IP 地址和端口，通常还有域名，因为您的浏览器通过对 DNS 进行(非加密)调用获得 IP 地址。

这要求您将 Fiddler 配置为为您解密 HTTPS，这需要您“确定”Fiddler 的证书，以便它可以执行相当于“友好”中间人攻击的操作。