HTTPS 中间人攻击检测：一键测出你的流量有没有被解密

测什么你此刻到本站的这条连接，有没有被第三方拆开重封怎么测加载一组故意使用坏证书的域名，正常浏览器该全部拒绝。哪个被放行了，就说明你的设备里多了一张不该有的根证书要多久约 10 秒，全部在浏览器里完成安全吗不读取你的浏览内容。检测在你浏览器里完成；本站会记录本次检测的时间、IP 和浏览器类型，仅用于统计

一、小锁亮着，不代表没人看

公司 Wi-Fi、学校校园网、宿舍路由器、公司配的笔记本。这些环境里，浏览器地址栏的小锁一样是亮的。很多人就是看见那个锁才放心的。

但那个小锁只证明一件事：这一段路是加密的。它不证明这条路上只有你和网站。你以为的"端到端"，实际可能是"你 → 网关 → 网站"，中间那一跳是明文的。

做法却很省事：网关自己签一张证书冒充网站，再把它的根证书装进你的设备。装完之后，浏览器认为这个签名合法，通道照常建立，锁照常亮。你在宿舍和家人视频、在自己的笔记本上投简历、在校园网里查体检报告，内容在网关那一头已经是明文了。而你这边不会有任何提示，地址栏不变色，不弹窗，不报警。

这不是危言耸听。企业网关做流量审计、杀毒软件做 HTTPS 扫描、家长控制软件过滤内容，用的就是同一套机制。厂商的产品参数里，"HTTPS 解密"是明明白白写在卖点上的。学校和企业要求你装的那个客户端，往往就是这套体系落到你这台机器上的最后一环。

下面这个检测，就是把这件事从看不见变成看得见。别去猜，测一下。

二、中间人是"换证书"，不是"破解密码"

先把一件事说清楚：中间人没有破解 TLS，它做的事更省力。

正常访问时，浏览器向网站索要证书，然后验证这张证书是不是由一个它本来就信任的机构签发的。验证通过，建立加密通道。中间人做的是在两边各建一条连接：对网站它假装成你，对你它假装成网站。要让"你"这一侧接受它，它必须给网站重新签一张证书——用它自己的证书颁发机构签。

这张伪造的证书，浏览器本来是不认的。所以中间人要做的最后一步是：把那套根证书装进你的设备。公司采购网关设备时，厂商会提供部署工具，一次性把根证书推送到域内所有电脑和手机。装完之后，浏览器会认为中间人的签名合法，加密通道照常建立，小锁照常亮。

整个过程里，唯一被动过的，是你设备里那个"我该信任谁"的名单。

浏览器侧

正常时只有一条到网站的加密通道。中间人介入后变成"浏览器 → 中间人 → 网站"两段，中间那段是明文可读的。

证书侧

中间人必须为网站重新签一张证书，签发者是它自建的根证书——不是公共 CA。

设备侧

那张根证书会被预先装进你的系统。这是整套机制里唯一需要动你设备的地方，也是唯一能被检测到的地方。

三、开始检测

点击下面的按钮，组件会跑几组可以交叉验证的探针。检测全部在你的浏览器里完成，不读取也不上传你的浏览内容。本站会记录本次检测的时间、IP 和浏览器类型，仅用于统计访问情况。

约 10 秒完成，需要放行几个用于探针的境外域名。

四、报告怎么读

检测结束后会出现一张报告，每一项都有明确结论和判断依据。证书信任链探针是其中最关键的一项。

它会去加载几个故意使用坏证书的域名——根证书不受信任的、自签名的、域名不匹配的、已过期的。正常浏览器应该全部拒绝。如果它们被放行了，只有一种解释：你的设备里多了一张不该有的根证书。

同时，页面还会加载一个证书完全正常的域名作为对照。如果连这个都连不上，说明是网络把探针域名挡了，这一次的结论是"不可用"，而不是"你很安全"。这两件事必须分清，否则一个被防火墙挡住探针的网络，会被误判成最安全的环境。

检测项	看的是什么	强度
证书信任链探针	坏证书域名是否被放行	实测
加密通道与协议版本	本站开着 HTTP/3，你却被降到 HTTP/1.1	实测
中间盒与代理特征	服务端收到的转发头，以及两端协议是否一致	实测
内容完整性抽查	随机串摘要本地重算是否一致	参考
出口地址一致性	WebRTC 出口与 HTTP 出口是否矛盾	参考
证书信息公开比对	服务器自报证书，供人工核对	参考

五、这个工具查不出什么

把能力边界讲清楚，比讲得漂亮重要。

查不出合法 CA 签发的伪造证书

如果攻击者能让一家公共信任的机构给你的域名签出证书，网页层面看不出来。要发现这种情况需要查证书透明度日志，那是另一套工具的事。

查不出只做透明转发的代理

如果中间设备不改证书、不加头、不做协议降级，在应用层几乎不留痕迹。

读不到你装了哪些根证书

网页没有这个权限，只能通过探针反推。也不能替你判断"中间人是好是坏"——公司的审计网关也可能出于合规要求。

六、如果检测出中间人

1
先确认是不是你自己装的
杀毒软件的 HTTPS 扫描、部分代理软件、抓包工具（Fiddler、Charles 之类）都会装根证书。回忆一下最近装过什么带网络功能的软件。
2
再看是谁签的
打开系统证书管理器，找到那张根证书，看签发者。是公司 IT 的、学校的，还是某个你完全没听过的名字。
3
公司或学校的设备，这属于预期行为
设备是对方的，网络是对方的，部署审计网关是他们的权利。你能做的是别用工作设备处理私人事务。
4
自己的设备上出现不认识的签发者，要当心
恶意软件的持久化手段之一就是装根证书，之后你的所有 HTTPS 流量它都能看。删掉那张证书，然后做一次完整扫描。
5
重要操作换到受控环境
银行、邮箱、公司 VPN 这类操作，不要放在有未知中间人的网络里做。