JAVA写HTTP代理服务器(三)-https明文捕获

很久没更新了，其实https明文拦截已经实现很久了只是没发博客(毕竟我太懒)，步入正题吧，上一篇用netty实现的http代理服务器还无法对https报文进行解密，原因也说了，就是服务器的私钥不在我们这，根据RSA公钥加密私钥解密的特性，如果我们没有私钥的话是不可能获取到https的真实内容的，那有没有什么办法解密https的报文呢，当然有通过代理服务器伪造ssl证书就可以达到目的，那么具体是什么原理的，下面一步一步来分析。

https协议

首先来回顾下https协议的ssl握手

简单叙述下ssl握手中，只说说ssl单向验证过程

1. 客户端向服务器发出ssl握手,发送client-random随机数。
2. 服务器返回ssl证书和server-randon随机数。
3. 客户端校验ssl证书，校验通过，再生成一个premaster-secret随机数用服务器证书里的公钥加密发送，这个时候客户端已经可以通过三个随机数算出对称加密的密钥了。
4. 服务器用私钥解密premaster-secret，也拿到了三个随机数算出对称加密的密钥。
5. 两边都用算出来的对称密钥进行报文加密和解密

注意第三步非常关键，ssl证书是采用信任链的方式来验证ssl证书是否有效，在浏览器中都会内置好许多受信任的CA证书，而CA证书下签发的ssl证书来访问浏览器才会验证通过，不然就会提示证书不安全(12306典型的例子，因为12306是自己签发的CA根证书，不存在于浏览器受信任的证书列表中，所以浏览器会提示不安全)。所以就是要制作一个服务器证书，然后还要让浏览器安全校验通过才行。

动态替换ssl证书

在代理服务器拿到目标服务器ssl证书的时候，不返回给浏览器，而是使用我们自己制作的ssl证书，这个时候有个问题，就是自己制作的证书并不是浏览器中CA根证书签发的，所以我们需要把自己制作的CA根证书加入浏览器受信任的根证书颁发机构。

代理服务器返回的ssl证书中是由刚刚的CA证书签发的，这样就形成了一个受信任链，其实代理服务器就相当于一个浏览器访问目标目标服务器，获取到明文之后在通过客户端和代理服务器建立的ssl连接再转发给浏览器，就可以捕获并拦截到明文了。

openssl制作CA根证书

生成java支持的私钥

openssl genrsa