HSTS 防止网站劫持

随着信息时代的热潮，电脑和手机上网是广大网民的必备的项目，他可以用于日常工作、学习、娱乐等，但传统HTTP和HTTPS网站访问劫持率分别达到了95%和17%以上，非常简单的案例打开某传统HTTP和HTTPS网站，浏网站负责人既然在不知情情况下，览器会弹出红包等各种广告页面。其实这还是比较好的，部分传统的网站打开后直接跳转到另一个站点，这让网友目惊口呆，让站长心急。

 

理解HTTPS重定向的机制和原理

我们在浏览器下输入域名 http://xxx.abc.com 后 会自动重定向到 https://xxx.abc.com/ 了，我们再来看下 我们网络上的请求有2个请求，如下所示：

 

如上请求可以看到，浏览器首先会向网站发起一次http请求(http://xxx.abc.com), 在得到一个重定向响应后，再会发起一次https请求并得到最终的响应内容。对用户来讲，它的操作是透明的，用户体验也是不错的，但是在https链接之前会存在一次明文的http请求和重定向。那么攻击者可以以中间人的方式劫持http请求。来进行后续的攻击。比如窃听数据。篡改请求或响应、跳转到钓鱼网站等操作。因此http请求是不够安全的，所以最近几年所有的网站都要以https来访问的。

那么以劫持http请求并跳转到钓鱼网站类为列子，来看看大致的劫持流程是如下这个样子的。

操作步骤如下：
1. 浏览器会发起一次http请求(比如http://xxx.abc.com). 发出请求后，攻击者会以中间人的身份来劫持该http请求。
2. 攻击者劫持该http请求后，会把当前请求转发给钓鱼网站(比如 http://xxx.yyy.com)。
3. 钓鱼网站会返回假冒的网页内容。
4. 最后攻击者把假冒的网页内容返回给浏览器。

如上http请求根本就没有重定向到https网站到，而是攻击者直接劫持了http请求，最终把钓鱼网站返回给浏览器了。因此如果直接http重定向的话，会存在一次http请求明文的问题，因此直接使用http重定向是不安全的，因此就出现了HSTS来解决这个问题。下面我们来认识下HSTS吧

什么是 HSTS

HSTS（HTTP Strict Transport Security）国际互联网工程组织IETF正在推行一种新的Web安全协议

HSTS的作用是强制客户端（如浏览器）使用HTTPS与服务器创建连接。

国际互联网工程组织IETE正在推行一种新的Web安全协议HTTP Strict Transport Security（HSTS），采用HSTS协议的网站将保证浏览器始终连接到该网站的HTTPS加密版本，不需要用户手动在URL地址栏中输入加密地址。该协议将帮助网站采用全局加密，用户看到的就是该网站的安全版本。HSTS的作用是强制客户端（如浏览器）使用HTTPS与服务器创建连接。服务器开启HSTS的方法是，当客户端通过HTTPS发出请求时，在服务器返回的超文本传输协议响应头中包含Strict-Transport-Security字段。非加密传输时设置的HSTS字段无效。比如，https://xxx 的响应头含有Strict-Transport-Security: max-age=31536000;includeSubDomains。这意味着两点：在接下来的一年（即31536000秒）中，浏览器只要向xxx或其子域名发送HTTP请求时，必须采用HTTPS来发起连接。比如，用户点击超链接或在地址栏输入 http://xxx/ ，浏览器应当自动将 http 转写成 https，然后直接向 https://xxx/ 发送请求。

在接下来的一年中，如果 xxx 服务器发送的TLS证书无效，用户不能忽略浏览器警告继续访问网站。HSTS可以用来抵御SSL剥离攻击。SSL剥离攻击是中间人攻击的一种，由Moxie Marlinspike于2009年发明。他在当年的黑帽大会上发表的题为“New Tricks For Defeating SSL In Practice”的演讲中将这种攻击方式公开。SSL剥离的实施方法是阻止浏览器与服务器创建HTTPS连接。它的前提是用户很少直接在地址栏输入https://，用户总是通过点击链接或3xx重定向，从HTTP页面进入HTTPS页面。所以攻击者可以在用户访问HTTP页面时替换所有https://开头的链接为http://，达到阻止HTTPS的目的。

HSTS可以很大程度上解决SSL剥离攻击，因为只要浏览器曾经与服务器创建过一次安全连接，之后浏览器会强制使用HTTPS，即使链接被换成了HTTP。

另外，如果中间人使用自己的自签名证书来进行攻击，浏览器会给出警告，但是许多用户会忽略警告。HSTS解决了这一问题，一旦服务器发送了HSTS字段，用户将不再允许忽略警告。

如上使用重定向的方式，把http重定向到https存在安全性问题，因为在重定向https之前会存在一次http明文的请求，那么攻击者很容易劫持http请求，因此现在我们想当用户浏览器发起http请求的时候，浏览器直接转换成https请求。然后通过https请求页面，这样的话，攻击者就一般很难进行攻击了。我们可以请看如下示意图，如下所示：

步骤可以理解为如下：

1. 用户在浏览器输入 http://xxx.abc.com 的时候，浏览器知道该域名需要使用https来进行通信。
2. 因此浏览器直接向网站发起https请求(比如https://xxx.abc.com) 这样的。
3. 网站返回响应的内容。

那么现在的问题就是说，浏览器怎么知道该域名需要使用https呢？因此这个时候我们出现了HSTS了

下面我们先来看下百度的也是这样处理的，我们先在浏览器URI输入 http://www.baidu.com/ 后回车，浏览器会自动转化成 https://www.baidu.com/ 这样的请求了，但是我们使用chrome浏览器看网络下的请求可以看到如下会发送2次请求，如下所示：

我们可以看到如上，第一次请求状态码是307，并且请求头有这样的标识 "Provisional headers are shown", 具体的含义可以理解为浏览器拦截了该请求，并且该请求并没有发送出去。因此浏览器发现该域名需要使用https来请求，所以就发了第二次https请求了。

 

HSTS 基本语法

Strict-Transport-Security: max-age=expireTime [; includeSubDomains] [; preload]

max-age 是必须的参数，它是一个以秒为单位的数值，它代表着HSTS Header的过期时间，一般设置为1年，即 31536000秒。
includeSubDomains 是可选参数，如果设置该参数的话，那么意味着当前域名及其子域名均开启HSTS的保护。
preload 是可选参数，只有当你申请将自己的域名加入到浏览器内置列表的时候才需要使用到它。

 

理解HSTS Preload List

HSTS虽然可以解决HTTPS的降级攻击，但是对于HSTS生效前首次的http请求，依然是无法避免http请求被劫持的问题，比如我们第一次浏览器清除缓存，然后第一次使用http请求的话，第一次http也是明文传输的，当跳转到https后会使用HSTS的，以后只要浏览器缓存不清除的话，nginx不重启的话，都会使用HSTS保护的。因此为了解决第一次http请求的问题，浏览器厂商们为了解决这个问题，提出了 HSTS Preload List 的方案，内置一份可以定期更新的表，对于列表中的域名，即使用户之前没有访问过，也会使用https协议请求的。

目前这个Preload List由Google Chrome维护，Chrome、Firefox、Safari、IE 11和Microsoft Edge都在使用。如果要想把自己的域名加进这个列表，首先需要满足以下条件：

1. 拥有合法的证书(如果使用SHA-1证书，过期时间必须早于2016年)；
2. 将所有HTTP流量重定向到HTTPS；
3. 确保所有子域名都启用了HTTPS；
4. 输出HSTS响应头：
5. max-age不能低于18周(10886400秒)；
6. 必须指定includeSubdomains参数；
7. 必须指定preload参数；

即便满足了上述所有条件，也不一定能进入HSTS Preload List，更多信息可以查看：https://hstspreload.org/。

通过Chrome的chrome://net-internals/#hsts工具，可以查询某个网站是否在PreloadList之中，还可以手动把某个域名加到本机Preload List。

 

HSTS缺点

HSTS并不是HTTP会话劫持的完美解决方案。用户首次访问某网站是不受HSTS保护的。这是因为首次访问时，浏览器还未收到HSTS，所以仍有可能通过明文HTTP来访问。

如果用户通过HTTP访问HSTS保护的网站时，以下几种情况存在降级劫持可能：

1. 以前从未访问过该网站。
2. 最近重新安装了其操作系统。
3. 最近重新安装了其浏览器。
4. 切换到新的浏览器。
5. 删除浏览器的缓存。
6. 最近没访问过该站并且max-age过期了。
那么解决该问题的方法，可以使用上面介绍的 HSTS Preload List 方法。

 

支持HSTS浏览器

目前主流浏览器都已经支持HSTS特性，具体可参考下面列表：(官方给出的参考)

官方具体详细页：https://caniuse.com/#feat=stricttransportsecurity

 

 

Nginx 开启 HSTS 让浏览器强制跳转HTTPS访问 可以查看这篇文件：

https://blog.csdn.net/edsoki/article/details/105642090