为什么httpfox可以在HTTPS中捕获谷歌帐户清除密码？

Question

我在firefox上安装了httpfox。我尝试在Google帐户登录页面上捕获流量，我为我的测试键入了错误的密码，令我惊讶的是，它在https页面中捕获了明确的密码。

但我在Firefox / IE上尝试fiddler，没有捕获到明确的数据。

我听说HTTPS标头也是加密的。但为什么他们仍然在httpfox中被捕获？黑客是否有可能通过网络做同样的事情？

Answer 1

这实际上取决于您在探测这些值或数据的位置。

我从未使用过这两种工具，但根据我的理解，我假设以下内容：

• httpfox 是一个浏览器插件。因此，它只是在加密和发送之前以及在接收和解密之后捕获流量数据（即发送的内容）。
• fiddler 相比之下是一个外部代理，因此它不会看到任何未加密的内容，因为它只监控通过的流量。

总的来说，httpfox将向您展示浏览器对您的连接的了解。 fiddler会告诉你连接服务器的路上任何服务器/代理都会看到什么（垃圾）。

这也是您应该只安装和使用您信任的插件的原因。您可以拥有完美的网络安全性，始终使用https / SSL等，但如果您的其中一个插件正在窃取美味的位，它将无法帮助您。