ใครคิดว่า website ที่ใช้ SSL (https) ปลอดภัยเสมอบ้าง?

^^ตัวอย่าง website ที่ใช้ SSL

เรารู้กันอยู่แล้วว่า SSL นั้นไม่ปลอดภัยต่อการโจมตีแบบ MITM (man-in-the-middle attack)
อันนี้เป็นเทคนิคเก่าที่รู้กันมานานแล้ว จะไม่ขอพูดถึง เรามาดูวิธี่ใหม่ๆกัน

ถ้า website ที่ใช้ SSL (https) นั้นบังเอีญมีช่องโหว่้ XSS เราสามารถใช้ Javascript บังคับ user ให้ terminate SSL session (https)
และมาใช้ http ธรรมดาที่ไม่ได้มีการเข้ารหัสใดๆไว้โดยที่ user ไม่รู้ตัวได้ ที่นี่เรา (hacker) ก็สามารถ sniff web traffic ได้โดยที่ user ไม่รู้ตัว


javascript code:

[hide=20]
[code]
Object.prototype.protocol_redirect = function(uri) {