@technach - страница 1697 - Telegram web archive

Анатолий

А зачем sslstrip для выгрузки со сканера? (Ты же про ингресс?)

Ну подумай )

Andrey

Немного, но их шестизначное количество )

дофига ) у меня предположение, что это либо из-за количества сайтов, либо таки каждый hsts пишется в отдельный файл, и если он часто протухает, создается очень много файлов.

Andrey

Ну подумай )

если тебе трафик смотреть, то это не совсем sslstrip

Анатолий

дофига ) у меня предположение, что это либо из-за количества сайтов, либо таки каждый hsts пишется в отдельный файл, и если он часто протухает, создается очень много файлов.

Кстати да, возможно наоборот проблема в том, что они протухали очень быстро. В любом случае их было 50 гигов и это жопа )

Анатолий

если тебе трафик смотреть, то это не совсем sslstrip

Не учи учёного )

Andrey

я просто трафик смотрю подменяя серт. А sslstrip - заставить клиента работать через http. Если клиент работает через http, то это весело

Анатолий

(но я конечно же только в ознакомительных целях знаю, никогда не снифал сканер и ничего не выгружал, это мне добрые энлайты сервисом поделились, пока не флипнулся)

Andrey

часто трафик надо для отладки смотреть - я ни на что не намекаю )

Анатолий

Ну всё, щас ещё брут вспомню, слезу пущу, песочком посыплю)

Анатолий

я просто трафик смотрю подменяя серт. А sslstrip - заставить клиента работать через http. Если клиент работает через http, то это весело

Тьфу, всё забыл, sslsplit

Анатолий

В глаза долблюсь на ночь глядя )

Aragaer

а в линуксе эти hsts кеши где живут?

Анатолий

а в линуксе эти hsts кеши где живут?

не знаю, в винде это папка с профайлом юзера, в лине надо искать там же где куки и прочее

Aragaer

ща поищу

Aragaer

не, у меня в профиле нету

Andrey

В глаза долблюсь на ночь глядя )

я тоже иногда путаю термины/ аббревиатуры - говорю одно, а думаю про другое ))

Andrey

Тьфу, всё забыл, sslsplit

а не sslsniff? )

Анатолий

а не sslsniff? )

Не, точно sslsplit

Анатолий

И ещё пять пакетов

Анатолий

Там целая шарманка была для того чтобы только инвентарь выгрузить

Анатолий

Зато жсончик, база, графики, статистика ))

Анатолий

inb4 reported

Andrey

а, ты автоматом все делал. Я часто через burp/ owasp zap глазками смотрю, автоматом только для поиграться старый sslstrip пробовал

Анатолий

а, ты автоматом все делал. Я часто через burp/ owasp zap глазками смотрю, автоматом только для поиграться старый sslstrip пробовал

не я делал ) делали секретные товарищи, а я только наблюдал

Анатолий

Потом всё равно всех перебанили ))

Анатолий

я просто трафик смотрю подменяя серт. А sslstrip - заставить клиента работать через http. Если клиент работает через http, то это весело

Это правильно, клиенты должны работать через хттп. А то понасуют за хттпс всё, и картинки, и стили, и оно нагружает серваки почём зря, всё тормозное как не знаю что

Анатолий

Ещё эта инициатива хрома, браузер решает за тебя, что ты можешь смотреть, а что нет, под предлогом безопасности

Анатолий

прям не браузер, а отдел контроля мыслепреступлений

Анатолий

Владельцы сайта готовы показать контент без шифрования, пользователи готовы его смотреть в таком виде, но создатели браузеров вмешиваются в их свободный выбор

Анатолий

Ну то есть смотреть можно будет, но надо будет поставить старую ОС, установить на неё старый браузер, а там глядишь ещё и паспорт предъявить

Анатолий

фух, всё, закончилась фантазия ))))

Andrey

не, плейнтекст http не айс. С ним можно много граблей огрести. Браузеры особо не мешают трафик смотреть, а вот приложухи с запиненными сертами мешают )

Анатолий

не, стоп, ты подумал, что я всёрьёз? )

Анатолий

это ж надо меня так недооценивать )

Andrey

ну оно конечно видно, что ты стебешься, но не все ведь могут понять )))

Andrey

а то поверят тебе. Ибо есть реально товарищи, которые доказывают, что https не везде нужен

Andrey

хотя гугл отчасти за него, чтобы его рекламу не подменяли, я думаю )))

Нехис

это-то понятно но не силами же приложения, которое ждет, что будет шевелиться картинка, а экран уходит дрыхнуть

https://play.google.com/store/apps/details?id=jp.gr.java_conf.taketake.KyusokuHouden