在不更改 URL 的情况下对 https:// 地址进行攻击需要：

• 证书冒充（有人窃取了网站的私钥）+ DNS 中毒
• 我认为也可以通过篡改某人系统上的主机文件来做到这一点，但仍然需要有效的证书。

为确保不会以这种方式被劫持，请始终确保您的浏览器是最新的，并确保证书也是最新的。证书可能无效，并且每当您必须使用证书时（通过 OCSP - 在线证书状态协议 - 左右），都应检查 CRL（证书吊销列表）。我不记得浏览器如何处理这种类型的请求。

您的意思是攻击者在哪里注册一个看起来类似于“真实”但使用非英语（或者更确切地说，非拉丁）字符的域？

看

1. http://en.wikipedia.org/wiki/IDN_homograph_attack
2. http://en.wikipedia.org/wiki/Internationalized_domain_name
3. http://www.shmoo.com/idn/homograph.txt

如果攻击者可以进行中间人（例如无线或如果他能够进入您和您要访问的站点之间的任何位置），那么他们可以欺骗 DNS，使用类似 sslstrip（http://www .thoughtcrime.org/software/sslstrip/）来欺骗你，或者真的做他们想要的任何内容操作。

对于 HTTPS，请查看： HTTPS 连接是否会因为恶意 DNS 服务器而受到威胁

还有一系列攻击，浏览器正确显示攻击者希望它显示的任何内容，但流量仍然通过简单的 DNS 劫持（浏览器具有正确的 URL 但解析为不正确的IP 地址）或浏览器代码的低级劫持，以将显示的信息与应用程序本身的信息分开。