Поиск всего небезопасного содержимого на защищенной странице

Question

Каков наиболее эффективный способ найти список всех URL-адресов, отличных от HTTPS, запрошенных на странице HTTPS? Если такое нарушение безопасности происходит, каждый браузер предупреждает пользователя, но я не могу найти простой способ найти точные URL-адреса, вызывающие нарушение.

Самый простой способ, который я нашел до сих пор, - использовать Firefox, но даже тогда это все еще не очень удобно. Во-первых, я могу щелкнуть правой кнопкой мыши, выбрать «Просмотр сведений о странице», перейдите на вкладку «Медиа» и прокрутите список URL-адресов. Однако, похоже, это только список файлов изображений, а не CSS или JS, которые также могут вызывать ошибку. Для них я должен использовать расширение Firebug, выбрать вкладку «Сеть» и вручную навести указатель мыши на каждый элемент, чтобы увидеть весь URL-адрес. К сожалению, это может занять некоторое время, если у вас есть десятки медиафайлов. Есть ли способ лучше?

Answer 1

Обратите внимание, что в последних версиях Chrome эти ошибки будут отображаться в Javascript Console.

например.

The page at https://mysecuresite.com displayed insecure content from http://unsecuresite.com/some.jpg. 

Answer 2

Использование Fiddler.

Защищенные запросы не будут отображаться вообще (кроме как HTTPS CONNECT, которые могут быть скрыты), поэтому все, что вы увидите, плохо.

Answer 3

Попробуйте: www.WhyNoPadlock.com Он предоставит вам отчет обо всех ненадежных контентах на любой странице https.

Answer 4

Я имел эту проблему, которая произошла в JavaScript:

/* for Internet Explorer */ 
/*@cc_on @*/ 
/*@if (@_win32) 
    document.write("<script id=__ie_onload defer src=javascript:void(0)><\/script>"); 
(.....) 

СРК = JavaScript: недействительным (0) следует избегать.

Вы не можете найти эту проблему, используя Fiddler или Chrome.

Answer 5

Используйте Burp Suite, настройте область действия как свой веб-сайт, перейдите на защищенную страницу и проверьте, какой запрос сделан в HTTP-версии вашего веб-сайта.

Answer 6

Вы можете использовать SslCheck

Это бесплатный онлайн инструмент, который сканирует веб-сайт рекурсивно (после всех внутренних ссылок) и сканирование для незащищенного контента - изображений, скриптов и CSS.

(отказ от ответственности: Я один из разработчиков)

Answer 7

Недавно была такая же проблема, используя инструмент разработчика Chrome это было легче найти .. В средстве разработки перейти к Security вкладку, вы можете найти все не-HTTPS просить

Answer 8

Если у вас есть веб-сайт, вы должны смотреть в the Content-Security-Policy header options. Они могут включать forcing HTTPS on resources, или автоматически пытается redirect HTTP resources to HTTPS, среди других вещей.

Примечательно, что существует также директива report-uri для связанного с ней Content-Security-Policy-Report-Only header, в котором сообщается о любых нарушениях вашего CSP к выбранному вами uri. Это означает, что любой браузер с поддержкой для report-uri будет отправлять вам отчеты о страницах вашего сайта с проблемным HTTPS на постоянной основе. Сеть разработчиков Mozilla имеет a PHP example обработки отчетов.

---

Обратите внимание, что если вы можете разумно ожидать любой браузер с полной СНТ (RO) поддержки, чтобы ударить страницы в вопросе, это не имеет значения, что некоторые браузеры не имеют поддержку.

Answer 9

Я просто хочу оставить записку о том, что случилось со мной, когда эта проблема возникла.

Внезапно мой домен показал «Смешанные: небезопасные предметы». Я не мог найти причину. Консоль просто показывала, что изображение запрашивалось: http://www.example.com/, Который не нашёл ссылок на в любом месте.

Я искал и искал и, в конце концов, обнаружил, что на вкладке «Безопасность» в Chrome, где он показывал «Незащищенный контент», он сказал «Показать в сетевой вкладке». Когда я нажал на это, он показывал мне плохой URL-адрес, опять же, без информации, кроме колонки Initatior. Он показывал изображение footer_bg.jpg.

Если бы кто-то ввел код в фоновое изображение нижнего колонтитула, я задавался вопросом? Оказывается, нет, я нечаянно перебрал этот образ вчера и забыл об этом. Таким образом, страница запрашивала изображение, которого там не было, возвращая ошибку. Я установил ссылку на изображение, и страница загрузится снова.

Только для тех, у кого может возникнуть эта проблема в будущем.