发送帖子请求时隐藏表单数据中的密码

Question

在提交表单数据时，密码在表单数据内部以加密格式显示，也可在POST请求的参数中显示。

我想以加密格式隐藏密码。在Burp Suite中，显示以下漏洞问题。 [！[在此处输入图片说明] [2]] [2]

我使用sha-512进行加密，网址是https。我一直在搜索这个，但我发现的只是将协议从http更改为https。请帮助我如何解决这个隐藏表单数据的问题，以免在POST请求头参数中显示密码。

Answer 1

在提交表单数据时，密码在表单数据内部以加密格式显示，也可在POST请求的参数中显示

实际上，浏览器会显示已发布的所有数据。实际上，请求已经在用户的行为上完成，您必须假设用户可以看到他/她发布的所有信息。

我想以加密格式隐藏密码。 只是将协议从http更改为https

是的，这是正确的答案，https确保流量加密和服务器验证，任何嗅探流量的人都无法解密任何发布的数据。您在浏览器中看到的是加密和实际传输之前的数据。

我使用sha-512进行加密

不，似乎你只是散列了一些数据（请搜索并了解加密和散列之间的区别），现在散列已成为密码，现在你需要保护散列。

CWE-204

您显示的任何内容均未显示CWE-204漏洞。你所展示的是一个正常的帖子请求和带有会话cookie和重定向网址的响应。您的系统可能有也可能没有CWE-204漏洞，但它与您提供的数据无关。

请帮我解决这个隐藏表单数据的问题，以免在POST请求头参数中显示密码

现在有一个问题：

是否由用户提供密码，您是否要隐藏任何第三方的密码（可能会嗅出流量）？然后使用https就可以了。用户仍然可以看到发布的数据（包括密码），但很好 - 用户提供了密码，他已经知道了。

如果“密码”某些系统参数要在表单中传递而用户无法知道它？理论上 - 您可以在服务器端加密密码并解密目标系统上的密码。但是 - 用户可能只是再次发布加密密码。那么你可能宁愿使用有时间限制的JWT令牌。