嗅探和篡改网站的请求和响应，如何防范？

我正在研究有关我的网站的安全性和其他内容。
在我的国家在线支付像paypal一样工作。
意味着你应该以邮寄方式传递一些参数，如金额，MERCHANTID，RETURNURL，ResNum（订单ID）银行和付款后银行会通过一些参数，如MID，状态，ResNum给你。
这个请求和响应有人在可以使用下面的软件嗅探和篡改：
http://www.fiddler2.com/fiddler2/
请看到这部影片：
http://www.fiddler2.com/fiddler/help/video/
我测试它，它也使用证书适用于HTTPS。
哇...嗅探和篡改网站的请求和响应，如何防范？

我该如何防止这种嗅探和篡改？
在付款后在卖方调用的名为VerifyTransaction的银行网站中有一个函数，此函数返回金额。
此功能位于银行端的Web服务上。
的主要问题是：
可以通过银行和卖方之间有人嗤之以鼻，并篡改网络服务？
意思是小提琴手可以做那个或其他工具吗？
如果是的话，我们如何防止这种嗅探和篡改（网络服务）？

真正体会到了关注

来源

2012-05-08 MoonLight

的可能重复[如何防止HTTPS人在中间从服务器端的攻击？（http://stackoverflow.com/questions/3078677/how-to-prevent-https-man-in-middle-攻击从服务器端） –

嗨，我不这么认为，主要问题是关于web servises。 – MoonLight

提琴手是一样的客户端，Web浏览器上运行，无论是同一用户的控制下运行，因此它不能做任何事情，你不能这样做只需一个浏览器（但也许更多的努力）。

从未有一个保证从客户端向服务器的数据已经由HTML/JavaScript的/等发送。你为他们服务。这就是为什么你永远不应该信任用户的输入，例如总是在服务器端进行数据验证（并且为了提高可用性，只能在客户端进行数据验证）。这就是银行和卖家之间网络服务电话的原因，以确保交易细节是正确的。

篡改和卖方服务器与银行服务器之间的流量嗅探可以通过适当的TLS设置来防止。

来源

2012-05-08 08:45:32

嗨，谢谢你的答案，请你提供一些关于TLS设置的信息。关于嗅探和篡改Web服务器我认为应该有一种方法。 xml格式的服务器和我们的系统之间的通信，作为一个中间人。你怎么看待这个问题？ – MoonLight

嗅探和篡改网站的请求和响应，如何防范？

回答

相关问题