10 篇博文 含有标签「加密对抗」

在前端加密、动态签名、一次性 challenge 这类场景里，单纯“会不会发包”其实不是重点。真正麻烦的是，测试链路里往往多出一段必须自动完成的前置或后置逻辑，例如：

01 发起真正业务请求之前，先去拿一段 challenge

02 把 challenge 解开，得到 nonce

03 用 nonce 计算签名，再把签名补到请求头里

04 请求成功之后，返回值本身还是密文，还要再解一遍

如果只是偶尔测试一次，这些动作手工做也不是不行。但一旦要开始反复调试、批量发包、联动 MITM 和 Web Fuzzer，这套流程如果没有一层统一能力接管，就会很快变得难用。

在这篇文章里，我们不去讨论太多架构层面的设计，而是直接拿 Vulinbox 里的一个动态挑战响应接口做演示，看看如何把这条链路真正挂到 Yak 的全局热加载中，让用户在 Web Fuzzer 和 MITM 里都能直接受益。

最近有用户希望完全控制证书里 Subject/Issuer 的字符串，但手敲 OpenSSL 命令既枯燥又容易写错。于是我们把原本的 Yak 脚本封装成 GUI 插件：在 Yakit 的「证书生成」里，默认只露三个字段--证书类型、通用名（CN）、组织（O）。点击“额外参数”还能展开国家/省份/城市、有效期、DNS/IP 等高级选项，全部支持多值输入。最终生成的 PEM 证书和私钥自动保存到临时目录，并在界面里弹出可复制的路径，一键就能拿去用。

随着国家网络安全战略的深入实施，国密算法（SM2、SM3、SM4 等）在我国关键信息基础设施和重要领域得到了广泛应用，旨在构建自主可控、安全可靠的密码体系。国密 TLS（GMTLS）作为其在传输层安全协议的体现，正逐步取代传统的 RSA/ECC TLS 协议。然而，这种安全性的提升也给传统的网络分析工具，尤其是中间人（MITM）类工具带来了新的挑战。近期我们收到了部分用户咨询有关双向认证的问题，问题大致集中在：

随着国家网络安全战略的深入实施，国密算法（SM2、SM3、SM4 等）在我国关键信息基础设施和重要领域得到了广泛应用，旨在构建自主可控、安全可靠的密码体系。国密 TLS（GMTLS）作为其在传输层安全协议的体现，正逐步取代传统的 RSA/ECC TLS 协议。然而，这种安全性的提升也给传统的网络分析工具，尤其是中间人攻击（MITM）工具带来了新的挑战。

传统的 MITM 工具在面对 GMTLS 加密流量时往往束手无策，这限制了安全研究人员、渗透测试工程师以及开发人员对国密通信进行分析、调试和拦截的能力。Yakit 作为一款强大的网络安全工具集，其 MITM 模块针对国密通信的支持，旨在打破这一技术壁垒，使我们能够像分析传统 TLS 流量一样，深入洞察国密加密的通信细节。

前文指路渗透测试高级技巧（一）：分析验签与前端加密 渗透测试高级技巧（二）：对抗前端动态密钥与非对称加密防护

前言

“开局一个登录框”

背景知识

Intro

? ? ? MITM解密插件之社会主义没有后门