存在 CVE-2016-2402 漏洞的 OkHttp simple-client 应用

这是 okhttp 项目中默认 simple-client 的一个分支。

Simple-client 是一个 Java 应用，仅向 https://api.github.com 发送 GET 请求，并获取 okhttp 贡献者的名称。

此分支已修改，使用 OkHttp 3.0.1 进行网络连接，并启用了证书固定。

OkHttp 3.0.1 存在 CVE-2016-2402 漏洞 - 此应用演示了该缺陷。

更多信息请阅读：

• https://koz.io/pinning-cve-2016-2402
• https://www.cigital.com/blog/ineffective-certificate-pinning-implementations/

构建

要构建此应用，首先克隆仓库，然后运行：

ant build

用法

如果您没有系统 JRE 信任的 CA 的私钥，则必须将代理的证书添加到您的 CA 存储中。 假设 CA_CERT.pem 是您的代理的 CA 证书。

$cp /etc/ssl/certs/java/cacerts .

$keytool -import -trustcacerts -alias ikozCA -file CA_CERT.pem -keystore cacerts -storepass changeit

然后使用以下参数启动 simple-client，通过本地代理进行连接

$java -DproxyHost=127.0.0.1 -DproxyPort=8080 -Djavax.net.ssl.trustStore=cacerts -jar certPinningVulnerableOkHttp.jar

John Kozyrakis