Como o MITM mantém o navegador em HTTP no ataque de SSL Stripping?

Resposta

O MITM estabelece uma conexão HTTPS com o servidor e converte a resposta para HTTP antes de enviá-la ao navegador.

Explicação:
O navegador comunica em texto claro com o MITM;
o MITM comunica-se de forma segura com o servidor real;
intercepta e remove redirecionamentos para HTTPS, mantendo a vítima em HTTP e permitindo captura/modificação dos dados.