鲁尔大学波鸿分校等团队发现ALPACA攻击：在同一网络添加受TLS保护的邮件或FTP服务器，可使Web服务器遭受窃取Cookie或跨站脚本攻击。TLS不保护TCP参数（IP、端口），且独立于应用层协议。当不同端口服务器共享证书、使用多域名或通配符证书时，中间人可重定向流量至替代目标，若替代服务器证书也有效则客户端无法检测。2015年Jann Horn曾描述利用共享证书的FTP服务器对Web服务器实施反射型XSS攻击。
原文: APNIC Blog（2021-11-10）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog