16、绕过 SSL 固定的技术指南

绕过 SSL 固定的技术指南

在当今数据传输安全备受关注的时代，了解 SSL/TLS 加密的实际过程以及 Android 应用如何处理这一过程至关重要。本文将详细介绍如何生成 SSL 证书、使用 Golang 编写后端 API、编写 Android 客户端与后端通信，以及如何拦截 SSL 流量。

1. SSL 连接的建立

在 TCP 连接建立后，客户端和服务器会进行握手过程，交换证书和加密算法，达成一致后继续通信。客户端会验证服务器证书的证书链，还可能验证服务器的主机名。若主机名不匹配，客户端会提醒用户。

以下是使用 OpenSSL 验证 SSL 连接的示例：

openssl s_client -connect aas2.redteamlife.com:8443

输出结果包含证书链、服务器证书、SSL 会话信息等。在 DONE 提示后，可输入正常的 HTTP 请求，如 GET / HTTP/1.1 。

2. SSL 证书

SSL 证书通常由证书颁发机构（CA）颁发，CA 负责验证申请人的身份。常见的 HTTP 证书有三种验证类型：
- 域名验证（DV）证书 ：验证申请人是否控制并拥有证书上的域名，注册和下载速度快，无需过多人工交互。
- 组织验证（OV）证书 ：除验证域名所有权外，还需提供业务实体注册文件，证明公司的真实性，需要 CA 进行人工检查。
-