帖子

感觉eMudhra比那个PHP严重得多，中间人随时黑小鸡偷Key

14714

0-show2026-10-22
13687
咖喱厂，eMudhra中间证书私钥泄露，只要中间人部署了证书
VPS下载的脚本直接被替换，机器直接被黑，偷窥通信流量，偷大模型APIkey，其实啥Key都能拿到
二编
谁有资格成文中间人：你的电信运营商、你VPS的商家，以及一切的上游
好像很多不理解，说个形象一点的
通过eMudhra泄露的私钥可以直接签发goole的证书，假装是google和你通信
虽然逻辑上印度厂不应该签发google的证书，但是你系统的信任链不看这些，会选择信任
主楼
14 147
leak22026-10-22
13808
应该不影响到https证书
#1
0-show2026-10-22
13687
@leak2 #1
泄露的包括TLS证书啊
#4
leak22026-10-22
13808
@0-show #4
卧槽这影响太大我好多服务器都是从cf或者其他证书
#6
ipv42026-10-22
5039
这又是啥，如果我不知道eMudhra是啥，我需要理会吗？
#2
强风吹拂2026-10-22
6562
@ipv4 #2
完全无需理会，就好比现在已经有会飞的汽车了，你需要考虑吗
#9
windzzm2026-10-22
14212
let's的应该不影响吧
#3
寻龙2026-10-22
14353
中间人首先得把流量导到这边吧？这不得控制dns或者流量？求解
#5
0-show2026-10-22
13687
@寻龙 #5
你的vps商家就能做到吧，是你的上游就行
作为普通用户的话，你的电信运营商也能做到
#8
Na2026-10-22
5085
最近少上来历不明的网站
#7
Saqjs-NS2026-10-22
18420
得先让流量走攻击者的机器吧？那 GFW 岂不是能利用，然后把你底裤看光？
#10
0-show2026-10-22
13687
@Saqjs-NS #10
理论上能做到，现在很多浏览器开始热更新了，准备封锁了这批证书
#12
这瓜保熟吗2026-10-22
13398
let’s Encrypt Win！
#11
0-show2026-10-22
13687
@这瓜保熟吗 #11
Let's的私钥没泄露，他签发的证书不受影响
但是你续签的时候，我可以伪装成Let's Encrypt和你的VPS联系，给你假证书，如果有执行空间的话还可以下恶意脚本
ACME API走的https吧
#13
明月永在2026-10-22
19056
散了吧，看回复就知道大部分人根本就不懂，等系统自动更新吊销列表
#14

发表回复

登录后回复