HTTPS混合内容解析附解决方法

什么是HTTPS混合内容

我们可能会有这样的经验，当我们通过HTTPS访问一个网站的时候，突然有提示：“本页面包含有不安全的内容”。这个时候会询问是否显示“不安全的内容”，这个时候，就是遇到了有混合内容的页面了。

HTTPS下的页面，几乎很少是采用单一连接，HTML标识、图片、JS脚本以及其他页面资源不仅是多个连接获取到，甚至可能是来自完全不同的服务器和网站。为了确保一个页面进行了正确的加密，所有的页面资源都通过HTTPS进去获取是必要的。但在实际情况中，全部资源都采用HTTPS却不常见，这就倒是了混合内容(mixed content)安全问题的产生。

产生混合内容的原因

程序员某些程序员仍然基于HTTP下的编程习惯，导致代码的不严谨。最常见的就是采用绝对路径的方式，访问网站上的资源，在HTTP的模式下这种方式可能都是正确的，但一旦这些页面要求改用HTTPS，这些元素就很可能是被通过HTTP调用，而产生错误。

Mashup

随着Mashup的发展，网站不再是自己提供全部内容，它们混合其他网站的内容，而内容的来源则被隐去。Mashup虽然对开发者来说非常有用，但也让我们的HTTPS变得不可捉摸。

Mashup主要通过在页面加载第三方的JavaScript代码来实现的，在HTTPS加密的上下文中，经常会出现第三方的内容和服务不支持HTTPS加密，前几年，百度和Goolge的很多服务业也都不支持HTTPS，最近2、3年，才开始支持全网SSL，但有些小的服务商依然不能做到全部支持HTTPS。

CDN

CDN在全球建立大量的服务器，可以通过对用户访问IP地址的判断，选择最优的网络访问位置，为用户提供大量的（主要是静态）数据文件。通常CDN要支持用户通过HTTPS访问内容的成本比较高，因为CDN通常使用BDNS的域名解析技术，这会对一个网站在全球的各个不同的分发站点分配不同的主机名，所以我们经常必须采用Wildcard通配符证书，甚至Wildcard San证书来支持，同时因为SNI的兼容性还不够完善，每个分发点最好都具体自己独立的IP地址，这也导致运维的复杂性和成本的提高。
混合内容的影响混合内容的影响主要与没有被加密的内容性质所决定，目前主要有两种性质的内容：

混合被动内容（Mixed passive content），混合主动内容（Mixed active conttent）。前者也叫混合显示(Mixed Display)，它们是低风险的内容，例如图片； 后者也叫作混合脚本（Mixed Scripting)，它们是高风险的内容，常见的有JavaScript脚本。

混合主动内容是威胁的真正来源。一个不被加密的JavaScript文件的引用，可能会被主动攻击者劫持，并用来获取对页面的完全控制，已经使用受害者的身份在网站上执行任意的动作。对于其他危险的资源类型也是如此，包括：HTML(框架）、CSS、FLASH和JAVA应用程序等。

混合被动内容虽然不是那么的危险，但依然会破坏页面的完整性。在某些情况下，攻击者可以通过在图片中插入信息来玩弄受害者，可能导致钓鱼攻击的发生。

浏览器的处理

Android浏览器

Android的浏览器对混合内容没有任何限制。
Chrome

Chrome从版本38开始，会阻止所有的混合主动内容。
Firefox

Firefox很久以前就可以对混合内容进行检测并发出警告，但一直到版本23以后，开始对所有的混合主动内容进行阻断。
IE

IE从IE5（1999年）开始就支持对混合内容的检测，当IE检测到同一个页面上存在加密和明文内容的时候，它将提示用户来决定如何处理。但一直到IE9以后，才开始对混合主动内容进行阻断，同时开始对混合的被动内容采取了默许的方式。
Safri

Safri目前不阻断任何混合内容，这是它与其他浏览器相比的一个很大的区别。

 Images    CSS    Scripts  XHR    Websockets    Frames
 Android Brower 4.4   Y Y  Y  Y  Y  Y 
 Chrome    41  Y N  N  N  N  N 
 Firefox 30   Y N  N  N  N  N 
 IE 11  Y N  N  N  N  N 
 Safari  Y  Y  Y  Y  Y  Y 

查找混合内容

查找网页是否存在混合内容，推荐使用Chrome的“开发者工具”：

访问需要测试网页，然后打开，开发者工具，选择“Security”-"Non-Secure Origin"，就可以看到Mixed Content：

解决办法

检查代码

新的网站开发，在搭建测试环境时，建议直接在测试环境部署HTTPS，以确保网站在测试时就能及时发现混合内容问题，并及时纠正。

程序员在代码开发时，可以采用以下方式：

本地的图片和脚本通过HTTP显示方式直接调用。可以检索所有通过http://绝对路径方式调用的元素，改用本地相对路径。访问了一些外网的图片和脚本。譬如某网站www.domain.com，将图片放在另外一个站点img.domain.com，将脚本访问js.domain.com上，请在每个站点都部署HTTPS，然后将原先的http://的引用方式调整为//的引用方式。例如：原先的代码 <img src="http://img.domain.com/image/1.jpg" /> 修改为 <img src="https://img.domain.com/image/1.jpg" /> 。调整后，浏览器会自动选择http还是https来访问外网资源。如需要使用第三方系统提供的应用服务，请寻求支持HTTPS的服务商，目前百度和Google都已经支持全网HTTPS，而且正规的应用服务上，都会开始支持HTTPS了。HTST

HTST是一种强制浏览器获取安全资源的机制，即使在面对用户错误（譬如用户用80端口访问到你的网站）以及实现错误（网站开发人员在HTTPS页面上加了不安全的元素）也依然有效。这个特性有效的消除了混合内容的问题，但仅能在你能控制的域名下工作。

HTST要求通过301跳转的方式，一下仅就IIS简要介绍一下：

首先在网站上配置1个HTTP的网站，和一个HTTPS的网站，选择HTTP重定向：

状态代码设置为：永久（301）。重定向到相同域名的HTTPS站点上。

有关HTST的详细使用，我们将另外发文介绍。

CSP

为了阻断从第三方网站获取到的不安全资源，可以使用安全内容策略（Content Security Policy,CSP）。这个安全特性可以对不安全的资源进行阻断。它同时还有很多其他有用的特性来处理应用层安全问题。

赞 (0)

相关推荐

  • 各类Http请求状态(status)及其含义详细解析

    Web服务器响应浏览器或其他客户程序的请求时,其应答一般由以下几个部分组成:一个状态行,几个应答 头,一个空行,内容文档.下面是一个最简单的应答   : 状态行包含HTTP版本.状态代码.与状态代码对应的简短说明信息.在大多数情况下,除了Content-Type之 外的所有应答头都是可选的.但Content-Type是必需的,它描述的是后面文档的MIME类型.虽然大多数应答 都包含一个文档,但也有一些不包含,例如对HEAD请求的应答永远不会附带文档.有许多状态代码实际上用 来标识一次失败的请求,

  • C#如何解析http报文

    C#如何解析http报文

    下面通过一段内容有文字说明有代码分析,并附有展示图供大家学习. 要解析HTTP报文,需要实现以下操作: 读取HTTP报头提供的各种属性 分析属性值,从中获取内容编码和字符集编码 将报头数据和内容进行分离 判断内容是否文本还是二进制,如果是二进制的则不进行处理 如果内容是文本,按报头中提供的内容编码和字符集编码进行解压缩和解码 目前没有找到.Net框架内置的解析方法,理论上HttpClient等类在内部应该已经实现了解析,但不知为何没有公开这些处理方法.(亦或是我没找到) 那么只能自己来解析这些数

  • 解析ajax核心XMLHTTPRequest对象的创建与浏览器的兼容问题

    MLHttpRequest 对象是AJAX功能的核心,要开发AJAX程序必须从了解XMLHttpRequest 对象开始. 了解XMLHttpRequest 对象就先从创建XMLHttpRequest 对象开始,在不同的浏览器中创建XMLHttpRequest 对象使用不同的方法: 先看看IE创建XMLHttpRequest 对象的方法(方法1): var xmlhttp=ActiveXobject("Msxml12.XMLHTTP");//较新的IE版本创建Msxml12.XMLHT

  • 详解http访问解析流程原理

    详解http访问解析流程原理

    详解http访问解析流程原理 http访问网址域名解析流程: 1.在浏览器中输入www.qq.com域名,操作系统会先检查自己本地的hosts文件是否有这个网址映射关系,如果有,就先调用这个IP地址映射,完成域名解析. 2.如果hosts里没有这个域名的映射,则查找本地DNS解析器缓存,是否有这个网址映射关系,如果有,直接返回,完成域名解析. 3.如果hosts与本地DNS解析器缓存都没有相应的网址映射关系,首先会找TCP/ip参数中设置的首选DNS服务器,在此我们叫它本地DNS服务器,此服务器

  • 深入解析nodejs HTTP服务

    深入解析nodejs HTTP服务

    我最近在研究nodejs的路上,正好这两天了解了nodejs HTTP服务,那么今天也算个学习笔记吧! nodejs最重要的方面之一是具有非常迅速的实现HTTP和HTTPS服务器和服务的能力.http服务是相当低层次的,你可能要用到不同的模块,如express来实现完整的Web服务器,http模块不提供处理路由.cookie.缓存等的调用.我们主要用http模块的地方是实现供应用程序使用的后端Web服务.  1.处理URL 统一资源定位符(URL)为把一个请求发到正确的服务器的特定端口上,并访问

  • Android天气预报之基于HttpGet对象解析天气数据的方法

    本文实例所述为Android天气预报之解析天气数据的代码,可实现获取HttpGet对象读取天气网站天气数据,并从数据中解析出天气数据,比如温度.温度.风力.风向.未来几天天气趋势.当天天气状况.空气污染指数等信息,还包括了调用对应的图片或天气动画文件,对于开发android天气预报程序的可以参考本文实例. 具体功能代码如下: import java.io.IOException; import java.text.SimpleDateFormat; import java.util.ArrayL

  • 激动人心的 Angular HttpClient的源码解析

    Angular 4.3.0-rc.0版本已经发布

  • Android M(6.x)使用OkHttp包解析和发送JSON请求的教程

    关于Android 6.0 Android老版本网络请求: 1,HttpUrlConnection 2,Apache Http Client Android6.0版本网络请求: 1,HttpUrlConnection 2,OkHttp Android6.0版本废弃了老的网络请求,那么它的优势是什么呢? 1,支持SPDY,共享同一个Socket来处理同一个服务器的所有请求 2,如果SPDY不可用,则通过连接池来减少请求延时 3,无缝的支持GZIP来减少数据流量 4,缓存响应数据来减少重复的网络请求

  • HTTPS混合内容解析附解决方法

    HTTPS混合内容解析附解决方法

    什么是HTTPS混合内容 我们可能会有这样的经验,当我们通过HTTPS访问一个网站的时候,突然有提示:"本页面包含有不安全的内容".这个时候会询问是否显示"不安全的内容",这个时候,就是遇到了有混合内容的页面了. HTTPS下的页面,几乎很少是采用单一连接,HTML标识.图片.JS脚本以及其他页面资源不仅是多个连接获取到,甚至可能是来自完全不同的服务器和网站.为了确保一个页面进行了正确的加密,所有的页面资源都通过HTTPS进去获取是必要的.但在实际情况中,全部资源都

  • nginx安装完成无法解析php解决方法

    nginx安装完成无法解析php解决方法

    目录 方法一 方法二 安装完成nginx后,发现无法解析php代码,现在解决方案如下 方法一 找到nginx配制文件,如图下添加配制(截图画出来的),我的配制文件位置是/etc/nginx/sites-available/default location ~ \.php$ { root /var/www/html; include snippets/fastcgi-php.conf; fastcgi_pass 127.0.0.1:9000; fastcgi_param  SCRIPT_FILEN

  • php5.4以下版本json不支持不转义内容中文的解决方法

    本文实例讲述了php5.4以下版本json不支持不转义内容中文的解决方法.分享给大家供大家参考.具体分析如下: 写ERP接口的时候遇到JAVA方接收这种json_encode后的内容 复制代码 代码如下: {"orderCode":"1401160935542399","creator":"\u751f\u6d3b\u7528\u54c1\u6d4b\u8bd5\u5c0f\u5c4b"} 其中"creator&qu

  • layui表格内容溢出的解决方法

    引言,我做文章管理的时候,引入的是layui的表格样式,但是里面的内容溢出无法隐藏,后来我采用了往td里面加了个<div></div> 然后设置一下样式就可以了. <table class="layui-table"> <colgroup> <col width="100"> <col width="150"> <col> </colgroup> &l

  • win10 oracle11g安装报错问题集合 附解决方法

    本文实例为大家分享了oracle11g安装报错的原因,和对应的解决方法,供大家参考,具体内容如下 注册ocx时出现ole初始化错误或OCX加载错误 问题原因:安装文件不能放在包含空格的文件夹名字中 解决办法:oracle安装的时候最好安装在盘符的根目录下,不要使用中文 ora-00922(缺少或无效选项) 问题原因:配置管理员密码时,采用了数字开头的密码 解决办法:将密码改为英文开头(配置密码时,需要数字.大写英文.小写英文) [ins-32025]所选安装与指定oracle主目录中已安装软件冲

  • UITableView中Cell重用机制导致内容重复的解决方法

    UITableView继承自UIScrollview,是苹果为我们封装好的一个基于scroll的控件.上面主要是一个个的UITableViewCell,可以让UITableViewCell响应一些点击事件,也可以在UITableViewCell中加入UITextField或者UITextView等子视图,使得可以在cell上进行文字编辑. UITableView中的cell可以有很多,一般会通过重用cell来达到节省内存的目的:通过为每个cell指定一个重用标识符(reuseIdentifier

  • WPF字体或内容模糊的解决方法

    WPF字体或内容模糊的解决方法

    本文会给大家介绍尝试过的一些方法,大家可以一起看看. 1.用WPF4.0中的新字体渲染方法,没有改善 <Setter Property="TextOptions.TextFormattingMode" Value="Display" /> <Setter Property="TextOptions.TextRenderingMode" Value="ClearType" /> 2.给控件加上SnapsT

  • WPF拖动DataGrid滚动条时内容混乱的解决方法

    在WPF中,如果DataGrid里使用了模板列,当拖动滚动条时,往往会出现列表内容显示混乱的情况.解决方法就是在Binding的时候给UpdateSourceTrigger赋值. <Grid> <Grid.RowDefinitions> <RowDefinition Height="25"></RowDefinition> <RowDefinition></RowDefinition> </Grid.RowD

  • htm页面中&lt;a name&gt;加name和id的冲突附解决方法

    解决方法用到的核心代码如下 下面的代码放到页面的最下面即可 <script language="javascript"> var url=location.href; var urlarr=url.split("#"); var theid=urlarr[1]; document.getElementById(theid+"2").style.color="yellow"; </script> VIP促

  • Android中使用Toast.cancel()方法优化toast内容显示的解决方法

    产品在测试过程中发现一个bug,就是测试人员不停的疯狂的点击某个按钮,触发了toast以后,toast内容会一直排着队的显示出来,不能很快的消失.这样可能会影响用户的使用. 看到Toast有一个cancel()方法: 复制代码 代码如下: void cancel() Close the view if it's showing, or don't show it if it isn't showing yet. 做程序员的,基本一看api就知道,用这个可以取消上一个toast的显示,然后显示下一

随机推荐