对于渗透测试/VA,当然,必须始终能够看到目标的 HTTP 站点。如果存在,HSTS 与此需求相冲突。
如果不使用代理来解决问题(例如 Burp),是否可以在 Firefox 中本地禁用 HSTS?
对于渗透测试/VA,当然,必须始终能够看到目标的 HTTP 站点。如果存在,HSTS 与此需求相冲突。
如果不使用代理来解决问题(例如 Burp),是否可以在 Firefox 中本地禁用 HSTS?
about:support
火狐SiteSecurityServiceState.txt
并打开它github.com:HSTS 120 17242 1521194647604,1,1
Firefox 在此文件中存储 HSTS 条目及其有效期。删除此条目应该允许您点击 http url。为了进一步防止它,您可能可以将此文件的权限更改为只读。
更多详细信息 -了解 HTTP 严格传输安全 (HSTS)
注意:这不适用于像谷歌这样的知名网站,因为这些列表是由浏览器预加载的。对其他人很好。有关详细信息,请参阅上面的链接。
根据几个论坛,您可以通过引入新的配置变量来禁用 HSTS。首先,转到 Firefox 配置页面(about:config),右键单击,选择“New Integer”,然后提供名称“test.currentTimeOffsetSeconds”(不带引号),值为 11491200。这应该绕过 HSTS,尽管您可能还需要在“清除最近的历史记录”对话框 (Ctrl-Shift-Del) 中清除缓存和活动登录。
这显然是因为一个名为 GetPreloadListEntry 的函数可以检查当前时间是否小于下一个列表到期时间;由于时间被有效计算为晚于到期时间,因此不执行检查。这有效地禁用了 HSTS 检查。
我可以通过在 about:config 中设置network.stricttransportsecurity.preloadlist
为false来禁用它
然后,要查看添加异常按钮,您可能需要执行此处列出的 5 个步骤来刷新缓存:https ://security.stackexchange.com/a/154176
如果您的情况是您不小心在您正在处理的网站上设置了 HSTS 并需要清除它,“忘记这个网站”就可以了。