2. NodeSeek
  3. 感觉eMudhra比那个PHP严重得多，中间人随时黑小鸡偷Key

感觉eMudhra比那个PHP严重得多，中间人随时黑小鸡偷Key

0-show 2026-10-22 11:15 1

咖喱厂，eMudhra中间证书私钥泄露，只要中间人部署了证书


VPS下载的脚本直接被替换，机器直接被黑，偷窥通信流量，偷大模型APIkey，其实啥Key都能拿到



二编


谁有资格成文中间人：你的电信运营商、你VPS的商家，以及一切的上游


好像很多不理解，说个形象一点的

通过eMudhra泄露的私钥可以直接签发goole的证书，假装是google和你通信

虽然逻辑上印度厂不应该签发google的证书，但是你系统的信任链不看这些，会选择信任

最新回复 (14)
  • leak2 10-22 11:16
    1楼

    应该不影响到https证书

  • ipv4 10-22 11:16
    2楼

    这又是啥，如果我不知道eMudhra是啥，我需要理会吗？

  • windzzm 10-22 11:19
    3楼

    let's的应该不影响吧

  • 0-show 楼主 10-22 11:19
    4楼

    @leak2 #1

    泄露的包括TLS证书啊

  • 寻龙 10-22 11:19
    5楼

    中间人首先得把流量导到这边吧？这不得控制dns或者流量？求解

  • leak2 10-22 11:20
    6楼

    @0-show #4 卧槽 这影响太大 我好多服务器都是从cf或者其他证书

  • Na 10-22 11:22
    7楼

    最近少上来历不明的网站

  • 0-show 楼主 10-22 11:22
    8楼

    @寻龙 #5

    你的vps商家就能做到吧，是你的上游就行

    作为普通用户的话，你的电信运营商也能做到

  • 强风吹拂 10-22 11:23
    9楼

    @ipv4 #2 完全无需理会，就好比现在已经有会飞的汽车了，你需要考虑吗

  • Saqjs-NS 10-22 11:24
    10楼

    得先让流量走攻击者的机器吧？那 GFW 岂不是能利用，然后把你底裤看光？

  • 这瓜保熟吗 10-22 11:27
    11楼



    let’s Encrypt Win！

  • 0-show 楼主 10-22 11:34
    12楼

    @Saqjs-NS #10

    理论上能做到，现在很多浏览器开始热更新了，准备封锁了这批证书

  • 0-show 楼主 10-22 11:38
    13楼

    @这瓜保熟吗 #11

    Let's的私钥没泄露，他签发的证书不受影响

    但是你续签的时候，我可以伪装成Let's Encrypt和你的VPS联系，给你假证书，如果有执行空间的话还可以下恶意脚本

    ACME API走的https吧

  • 明月永在 10-22 11:47
    14楼

    散了吧，看回复就知道大部分人根本就不懂，等系统自动更新吊销列表

* 帖子来源NodeSeek
附近帖子
返回
飞读
随机推荐