SSL降级攻击：如何在Flask与Requests库中强制指定SSL版本

1. 强制客户端使用SSL3、服务器使用TLS1.3的配置方法 #

服务器端（Flask）强制TLS1.3 #

Flask默认依赖Werkzeug的SSL配置，要严格限定仅使用TLS1.3，需手动创建SSL上下文并锁定版本范围，同时确保所用OpenSSL版本支持TLS1.3（建议1.1.1及以上）：

from flask import Flask
import ssl

app = Flask(__name__)

@app.route('/')
def index():
    return "TLS 1.3 only server"

if __name__ == '__main__':
    # 创建TLS服务器上下文
    ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
    # 强制最低和最高版本均为TLS1.3
    ssl_context.min_version = ssl.TLSVersion.TLSv1_3
    ssl_context.max_version = ssl.TLSVersion.TLSv1_3
    # 加载证书和密钥文件（需提前生成）
    ssl_context.load_cert_chain(certfile='server.crt', keyfile='server.key')
    # 启动服务
    app.run(host='0.0.0.0', port=443, ssl_context=ssl_context, debug=False)

客户端（Requests）强制SSL3 #

Requests默认禁用SSL3（因安全风险），需自定义SSL上下文强制启用，同时注意部分系统可能在OpenSSL全局配置中禁用SSL3，需临时解除限制（仅用于测试）：

import requests
import ssl

# 创建SSL3专属上下文
ssl_context = ssl.SSLContext(ssl.PROTOCOL_SSLv3)
# 测试场景下禁用证书验证（生产环境绝对禁止）
ssl_context.check_hostname = False
ssl_context.verify_mode = ssl.CERT_NONE

# 发起请求
try:
    resp = requests.get('https://your-server-ip/', ssl=ssl_context)
    print(resp.text)
except Exception as e:
    print(f"连接失败: {str(e)}")

注意：若系统OpenSSL配置中禁用了SSL3，需修改openssl.cnf（通常在/etc/ssl/下），注释掉SSLv3相关的禁用规则，或在代码中通过ssl_context.set_ciphers('DEFAULT:@SECLEVEL=0')降低安全级别（仅测试用）。

2. 模拟SSL降级攻击的替代方案 #

• OpenSSL命令行工具：无需编写代码，快速模拟不同版本的握手请求。

  • 模拟SSL3客户端：openssl s_client -connect your-server:443 -ssl3
  • 搭建TLS1.3服务器：openssl s_server -tls1_3 -cert server.crt -key server.key -accept 443

• Burp Suite代理：作为中间人拦截Client Hello数据包，手动修改TLS版本字段为SSL3或低版本TLS，模拟降级攻击场景，可直观查看握手交互的每一步细节。

• Scapy库构造数据包：完全自定义SSL/TLS握手报文，手动设置Client Hello中的版本号，从数据包层面模拟降级攻击，适合深入研究协议交互逻辑。

• 安全测试工具：使用Nessus、OpenVAS等专业工具，内置SSL降级漏洞测试模块，可自动检测服务器是否存在降级风险，同时提供攻击模拟的完整流程。

内容的提问来源于stack exchange，提问作者Gerry