OWASP ZAP - SSLHandshakeException：收到致命警報：handshake_failure

Question

再會，

問題與SSLHandshakeException 有關：致命警報/訪問被拒絕，當使用 OWASP ZAP 代理定向到頁面時。

使用的技術：

• OWASP ZAP 2.8

• 莫斯拉 FireFox 73.0

• Java 版本：1.8

• AWS 托管網站。

訪問從 AWS Cloudfront 域托管的特定應用程序時出現上述錯誤。 它的域格式如下。 https://sample.example.net/ *樣本格式 - 不能透露初始申請 *。 我正在使用 OWASP ZAP 代理並配置了它

• 本地代理

• 在瀏覽器上導入 CA 根證書。

• 在連接下檢查了 SSL3、TLS 1、TLS 1.1、TLS 1.2。

• 啟用不安全的 SSL/TLS 重新協商。

使用我的正常設置時，我可以訪問上述應用程序，但是當使用代理時，只有這個應用程序給我這個錯誤 - 可以完美地訪問其他站點。 先感謝您 ！

Answer 1

我們有一個常見問題解答： https://www.zaproxy.org/faq/how-to-connect-to-an-https-site-that-reports-a-handshake-failure/摘要在這里：

首先嘗試在“證書選項”屏幕中選中“啟用不安全的 SSL/TLS 重新協商”復選框，然后重試。

其次檢查您是否在出站連接選項中啟用了 SSLv2Hello。 如果是這樣，請禁用 SSLv2Hello 並重新加載內容以查看問題是否已解決。

如果這沒有幫助，並且 HTTPS 站點報告握手失敗，請嘗試安裝“Java 加密擴展 (JCE) 無限強度管轄策略文件”：

• Java 8: https://www.oracle.com/tec.network/java/javase/downloads/jce8-download-2133166.html

• Java 9：根據 JDK 9 自述文件（如 20171212 所述），不應要求 JCE 策略文件：

  此 Java 運行時環境中捆綁的默認 JCE 策略文件允許“無限”加密強度。

您需要重新啟動 ZAP 才能使這些生效。