可以在 Firefox 中禁用 HSTS 吗?

信息安全 火狐 hsts
2021-08-22 10:57:24

对于渗透测试/VA,当然,必须始终能够看到目标的 HTTP 站点。如果存在,HSTS 与此需求相冲突。

如果不使用代理来解决问题(例如 Burp),是否可以在 Firefox 中本地禁用 HSTS?

4个回答
  1. 输入about:support火狐
  2. 单击配置文件文件夹 | 打开文件夹,它应该打开您的个人资料文件夹。
  3. 找到调用的文件SiteSecurityServiceState.txt并打开它
  4. 找到您网站网址的条目并将其删除。条目看起来像 -github.com:HSTS 120 17242 1521194647604,1,1
  5. 确保上述firefox已关闭,以免覆盖它。

Firefox 在此文件中存储 HSTS 条目及其有效期。删除此条目应该允许您点击 http url。为了进一步防止它,您可能可以将此文件的权限更改为只读。

更多详细信息 -了解 HTTP 严格传输安全 (HSTS)

注意:这不适用于像谷歌这样的知名网站,因为这些列表是由浏览器预加载的。对其他人很好。有关详细信息,请参阅上面的链接。

根据几个论坛,您可以通过引入新的配置变量来禁用 HSTS。首先,转到 Firefox 配置页面(about:config),右键单击,选择“New Integer”,然后提供名称“test.currentTimeOffsetSeconds”(不带引号),值为 11491200。这应该绕过 HSTS,尽管您可能还需要在“清除最近的历史记录”对话框 (Ctrl-Shift-Del) 中清除缓存和活动登录。

这显然是因为一个名为 GetPreloadListEntry 的函数可以检查当前时间是否小于下一个列表到期时间;由于时间被有效计算为于到期时间,因此不执行检查。这有效地禁用了 HSTS 检查。

我可以通过在 about:config 中设置network.stricttransportsecurity.preloadlistfalse来禁用它

然后,要查看添加异常按钮,您可能需要执行此处列出的 5 个步骤来刷新缓存:https ://security.stackexchange.com/a/154176

如果您的情况是您不小心在您正在处理的网站上设置了 HSTS 并需要清除它,“忘记这个网站”就可以了。