HTTPS建立过程相当复杂，下图为示意图，可以有整体认识，一般我们编程知道这些已足够。

如果你想仿照HTTPS实现类似加密，可以阅读下具体过程，作为参照

准备工作（对应图中prepare1234）

可以看到，在客户端向服务器发起请求前，还有一些准备工作要做，或者说是有一些工作已经做好了。

• 从CA证书颁发机构，获取数字证书。
  • 服务器：生成一对公私钥S.pub，S.pri，私钥自己保留，用于解密和签名，不能外泄。将公钥S.pub，身份信息，传给CA(Certificate Authority)机构；
  • CA机构：也有公私钥C.pub,C.pri；由S.pub，身份信息另外附加CA签名生成数字证书（签名使用C.pri进行签名）
  • 将数字证书颁发给申请者（服务器）
• 客户端（比如我们经常使用的浏览器），为了安全性，会内置一份CA根证书，它包含公钥C.pup，用于对数字证书验证

发起链接

https使用的是443端口，而http使用的是80端口

TCP端口号是一个2字节的整型，处于TCP报文段的前四个字节（2字节源端口号，2字节目的端口号）。

很明显范围是065535。其中01023具有特殊意义，已经被绑定，比如上面说的443，80，还有ftp的21端口。从1024~49151也具有特殊含义，但是还没有被用完，比如8080端口重定向。剩下的我们就可以随便使用，自定义了。

其实之前在嵌入式开发中，没有连接外网，也没有使用浏览器等等这些。所以端口完全自定义随便用，不用担心冲突：）。

下面的过程为具体详细一点的过程，如果不想看，可以完全只看示意图即可，对我们平时开发用处并不大。或者你在用wireshark类似的抓包工具时看的抓狂不认识，可以看看（反正我用Charles抓包）：

1 客户端发起请求（对应图中1）

同样需要三次握手，建立TCP连接(毫无疑问HTTPS也是基于TCP的)

2 客户端发送Client Hello包（对应图中2）

• 随机数

里面有1970年1月1日到现在的秒数，后面还有一个客户端发来的随机数Client.random

• Session ID

如果客户端与服务器费尽周折建立了一个HTTPS链接，刚建完就断了，也太可惜，所以用Session ID将其保存，如果下次再来可以直接使用之前的链接进行对话(对称密钥)。

• 密文族

告诉服务器，自己支持的加密算法种类

• Server_name

3 Server Hello（对应图中2）

• 随机数：对应服务器时间，服务器sever.random
• Seesion ID，如果客户端发给服务器的session ID在服务端有缓存，服务端会尝试使用这个session；否则服务器会启用新的并返回给客户端；
• 服务器挑选一个密文族

4 Certificate（对应图中2）

服务器终于发来我们想要的数字证书，包含了：签发机构、过期时间、主题名称、公共密钥信息、指纹信息等等

5 Server Hello Done（对应图中2）

服务器发送结束

6 客户端验证（对应图中3）

客户端从内置的CA根证书获取C.pub，对服务器发送来的数字证书进行验签，如果一致，说明证书是CA颁发的（前提是C.pub是真实的，确实是CA机构的公钥）。然后看看证书是否过期，域名是否匹配

7 生成对称密钥（对应图中4、5、6）

客户端根据之前的：Client.random + sever.random + pre-master生成对称密钥

经过S.pub加密发送给服务器，之后即可通过对称密钥进行通讯。（就是之前我们熟悉的http）

最后

在整个过程中，一共涉及2对公私密钥对，一对由服务器产生，主要用于加密，一对由CA产生，主要用于签名。

为什么要多一个CA呢？

假设没有CA，那么如果服务器返回的包含公钥的包被hack截取，然后hack也生成一对公私钥，他将自己的公钥发给客户端。hack得到客户端数据后，解密，然后再通过服务器的公钥加密发给服务器，这样数据就被hack获取。

有了CA后，客户端根据内置的CA根证书，很容易识别出hack的公钥不合法，或者说hack的证书不合法。

网络安全学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

需要网络安全学习路线和视频教程的可以在评论区留言哦~

最后

• 如果你确实想自学的话，我可以把我自己整理收藏的这些教程分享给你，里面不仅有web安全，还有渗透测试等等内容，包含电子书、面试题、pdf文档、视频以及相关的课件笔记，我都已经学过了，都可以免费分享给大家！

给小伙伴们的意见是想清楚，自学网络安全没有捷径，相比而言系统的网络安全是最节省成本的方式，因为能够帮你节省大量的时间和精力成本。坚持住，既然已经走到这条路上，虽然前途看似困难重重，只要咬牙坚持，最终会收到你想要的效果。

黑客工具&SRC技术文档&PDF书籍&web安全等（可分享）

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施
，从而减少由网络安全而带来的经济损失