为何设备上所有HTTPS通信可被其他应用查看？HTTP Toolkit相关疑问

为什么会出现这种情况？ #

这不是HTTPS协议本身的漏洞，核心是利用了中间人攻击（MITM）逻辑，结合系统/应用的信任机制与权限实现：

• 这类工具会生成自定义根证书，只要把它加入目标设备的信任存储，系统就会认可该证书。工具就能伪装成目标服务器，和客户端建立连接的同时，与真实服务器正常通信，以此解密双向HTTPS流量。
• Windows/Android浏览器：只有用户手动同意安装并信任该工具的根证书后，浏览器才会接受中间人证书，允许流量被解密。
• 已Root安卓设备/模拟器：Root权限可直接修改系统信任证书存储，无需用户确认就能注入恶意根证书，进而嗅探所有应用的HTTPS通信。
• PC端的workaround：通过修改应用启动参数、注入代理配置等方式，强迫应用使用工具的代理并信任对应根证书，绕过应用自身的证书校验逻辑。
• 间谍软件风险：这类软件会利用用户疏忽（比如诱导下载恶意程序、获取系统权限），偷偷安装根证书或监控系统代理，记录敏感凭据和通信内容。

防范方法 #

客户端侧 #

• 绝不随意安装来源不明的根证书，不在公共设备上操作敏感账号（如网银、支付平台）。
• 安卓非Root设备：默认情况下，用户手动安装的证书不会被系统级应用和正规APP信任（除非APP主动配置允许），能降低风险。
• 定期检查系统信任证书列表，移除非官方机构（如Let’s Encrypt、主流CA厂商）的未知证书。
• 避免使用要求安装证书的未授权代理工具。

服务端/应用侧 #

• 证书绑定（Certificate Pinning）：在应用代码中预先配置信任的服务器证书哈希值，仅当服务器返回的证书匹配预设值时才建立连接，拒绝未知根证书签发的证书。
• 启用HSTS（HTTP Strict Transport Security）：通过响应头强制客户端后续仅用HTTPS连接，同时禁止客户端接受未信任证书，降低中间人攻击概率。
• 不在请求头中存储敏感信息（如API密钥），改用OAuth2、短有效期JWT等更安全的身份验证方式，即使信息被窃取也能快速失效。
• 监控异常请求：比如来自未知IP、异常用户代理的请求，及时识别潜在的中间人攻击行为。

内容的提问来源于stack exchange，提问作者Mena