HTTP vs HTTPS 抓包对比为什么 TLS 1.3 连证书都看不到网络安全实战 90 天 · Week 1 破冰 · 难度 ★★★ 进阶 | 关键词HTTPS TLS 1.3 证书 Wireshark 加密传输上一篇在 HTTP 里轻松捞到明文密码那 HTTPS 呢这篇文章用同一个工具、同一个操作只把目标从 http 换成 https对比两次抓包结果的差异。最有意思的发现是在 TLS 1.3 下你连服务器的证书都看不到——而这恰恰说明加密做对了。一、实验设计只改一个变量做对比实验的关键是控制变量。这次两次抓包除目标网址外完全相同同一个 Wireshark、同一个网卡选择逻辑、同样的过滤思路、同样的操作动作访问页面。变量HTTP 组HTTPS 组目标http://127.0.0.1/login.phphttps://www.baidu.com协议HTTP 明文TLS 1.3 加密过滤器httptls预期能看到的完整请求头 表单数据只有握手记录内容不可读二、抓 HTTPS 流量抓公网 HTTPS 需要虚拟机能够上外网而 Host-Only 模式是上不了网的。所以第一步要改网络模式切换网络模式并抓包1. 关闭 Kali 虚拟机改网络模式必须关机 2. 虚拟机设置 → 网络适配器 → 改为 NAT 模式 3. 开机确认能上网ping www.baidu.com 4. sudo wireshark 启动抓包 5. 浏览器访问 https://www.baidu.com 6. 抓完后关机把网络模式改回 Host-Only注意改网络模式必须关机这是 VMware 的硬性要求。另外抓完记得切回 Host-Only——一直挂在 NAT 上后面打靶机的实验会连不通而且攻击流量有外泄风险。三、用 tls 过滤器看握手过程抓包开始后访问百度停止抓包输入过滤器TLS 过滤器tls过滤出来的记录长这样抓到的 TLS 记录34 TLSv1.3 Client Hello (SNIwww.baidu.com) 36 TLSv1.3 Server Hello 37 TLSv1.3 Change Cipher Spec 38 TLSv1.3 Application Data 40 TLSv1.3 Application Data 42 TLSv1.3 Application Data对比 HTTP 那次抓到的 POST /login.php差别一目了然HTTP 能看到路径、请求头、表单数据HTTPS 只能看到“有几次握手”和“之后传了几段加密数据”内容全是 Application Data不可读。四、为什么连证书都看不到这是本次实验最反直觉的发现。按教科书的说法HTTPS 握手时服务器会把证书发给客户端那 Wireshark 应该能抓到 Certificate 记录才对。但实际抓下来只有 Client Hello 和 Server Hello没有 Certificate。原因是 TLS 1.3 的一项重大改进证书在握手阶段就被加密传输了。在 TLS 1.2 及更早版本中服务器发送 Certificate 消息是明文的任何人抓包都能看到证书内容包括域名、颁发机构、有效期。TLS 1.3 把这一步放进了加密通道旁观者只能看到 SNI服务器名称指示也就是 Client Hello 里那个明文的域名。对比项TLS 1.2 及更早TLS 1.3证书传输明文可见加密抓包看不到可见信息域名、证书、颁发机构只有 SNI 域名握手往返2-RTT1-RTT支持 0-RTT 恢复安全性较高更高所以“看不到证书”不是抓包失败而是加密生效的证据。想看证书内容得去浏览器里看——因为浏览器是通信的一方它本来就能解密。五、在浏览器里查看证书地址栏左侧点锁图标按下面路径进去查看证书路径锁图标 → 连接安全 → 更多信息 → 查看证书能看到的关键字段字段含义示例值颁发给Subject证书属于哪个域名www.baidu.com颁发者Issuer哪个 CA 签发的DigiCert Inc有效期起止时间通常 1–2 年公钥用于密钥交换RSA / ECDSA 公钥六、HTTPS 到底解决了什么用一个比喻概括HTTP 像寄明信片路上每个经手的人都能读到内容HTTPS 像密封信封外人只能看到收件地址拆不开。具体来说 HTTPS 解决了三个问题威胁HTTP 下的后果HTTPS 如何应对窃听密码、Cookie 全明文内容加密抓包不可读篡改运营商可插入广告、改内容完整性校验改动即被发现冒充DNS 劫持到假网站证书验证服务器身份七、踩坑记录坑 1Host-Only 模式下上不了网Host-Only 的设计就是不连外网这是它的安全特性不是故障。要抓公网流量必须临时切到 NAT。注意桥接模式虽然也能上网但会把虚拟机直接暴露在局域网里做安全实验时不要用。坑 2切了 NAT 还是抓不到 tls改完网络模式后流量走的是 ens33 而不是 lo。如果 Wireshark 还停留在 lo 上抓自然什么都没有。切换网络模式后要重新选网卡——这一点和 Day005 的坑是同一个根源先想清楚流量走哪条路。坑 3只有 Client Hello怀疑抓包不完整看到没有 Certificate 记录第一反应是“是不是我漏抓了”。实际上这是 TLS 1.3 的正常行为。验证方法看记录里的版本号如果显示 TLSv1.3就说明是这个原因如果是 TLSv1.2 却没有证书那才是真有问题。坑 4找不到查看证书的入口现代浏览器的证书入口藏得比较深不在设置菜单里而是在地址栏的锁图标上。Firefox 的路径是锁图标 → 连接安全 → 更多信息 → 查看证书。八、附录CA 机构与 TLS 版本证书由 CA证书颁发机构签发浏览器内置了一批受信任的 CA 根证书。常见的有CA 机构特点DigiCert老牌商业 CA大型网站常用Let’s Encrypt免费自动化签发个人站首选Comodo / Sectigo商业 CA覆盖面广GlobalSign欧洲老牌 CATLS 各版本现状版本状态说明TLS 1.0 / 1.1已淘汰存在已知弱点主流浏览器已停止支持TLS 1.2主流目前使用最广泛TLS 1.3最新握手更快默认加密更多内容九、小结抓 HTTPS 必须让虚拟机能上网临时切 NAT抓完切回 Host-Only。TLS 1.3 下看不到证书是正常现象证书已被加密传输这是安全性提升而非故障。抓包能看到的信息量直接反映了协议的安全强度。HTTP 的三个致命问题——窃听、篡改、冒充——正是 HTTPS 要解决的核心。Week 1 到这里接近尾声。最后一篇换个方向从 Web 转到服务用 Hydra 爆开一台靶机的 SSH。