门户网站建设管理工作自查报告,西安网页设计模板,猪八戒网站找做微信小程序的,wordpress如何添加菜单和数据表【事件规则】
OpenSSL“心脏出血”漏洞是一个非常严重的问题。这个漏洞使攻击者能够从内存中读取多达64 KB的数据。也就是说#xff0c;只要有这个漏洞的存在#xff0c;在无需任何特权信息或身份验证的环境下#xff0c;我们就可以从我们自己的#xff08;测试机上#…【事件规则】
OpenSSL“心脏出血”漏洞是一个非常严重的问题。这个漏洞使攻击者能够从内存中读取多达64 KB的数据。也就是说只要有这个漏洞的存在在无需任何特权信息或身份验证的环境下我们就可以从我们自己的测试机上偷来X.509证书的私钥、用户名与密码、聊天工具的消息、电子邮件以及重要的商业文档和通信等数据。
OpenSSL漏洞分析
最初人们为了网络通信安全就开始使用安全协议进行加密通信SSLSecure Socket Layer就是一种安全协议。随着开源软件的流行有人写了一款叫 OpenSSL 的开源程序供大家方便地对通信进行SSL加密后来这款软件便在互联网中被广泛应用。我们在浏览器地址栏常见的 https 前缀的网址以及那把小锁图标通常就是指该网站经过 SSL 证书加密。 OpenSSL 有一个叫 Heartbeat 心跳检测的拓展问题就出在这个拓展上这也是漏洞被命名为“心脏出血”的直接原因。 所谓心跳检测就是建立一个 Client Hello 问询来检测对方服务器是不是正常在线 服务器发回 Server hello表明正常树立SSL通讯。就像我们打电话时会问对方 “喂听得到吗”一样。 每次问询都会附加一个问询的字符长度 pad lengthbug 来了如果这个 pad length 大于实际的长度服务器仍是会回来相同规模的字符信息于是形成了内存里信息的越界访问。 就这样每发起一个心跳服务器就能泄露一点点数据理论上最多泄露 64K这些数据里可能包括用户的登录账号密码、电子邮件甚至是加密秘钥等信息也可能并没有包含这些信息但攻击者可以不断利用 “心跳”来获取更多的信息。就这样服务器一点一点泄露越来越多的信息就像是心脏慢慢在出血心脏出血漏洞的名字由此而来。 这里通过一张图来展现一下 由于互联网应用最广泛的安全传输方法就是 SSL而 Open SSL 又是多数 SSL 加密网站使用的开源软件包所以漏洞影响范围广大一时间席卷全球各个互联网相关领域网银、在线支付、电商网站、门户网站、电子邮件等无一幸免。 通过以上分析我们可以看见OpenSSL心脏出血漏洞(heartbleed)的产生主要由于OpenSSL的心跳处理逻辑没有检测心跳包中的长度字段是否和后续字段相吻合导致攻击者构造异常数据包来直接获取心跳数据所在的内存区域的后续数据。主要特征有
heartbleed漏洞主要存在于有心跳机制的OpenSSL协议中。IANA组织把开启心跳扩展机制的SSL数据包type类型定义为240x18。heartbleed漏洞主要存在于TLS和DTLS两种协议中在含有heartbleed漏洞的OpenSSL协议中需要开启心跳扩展机制beartbeat而含有心跳扩展机制的TLS版本主要包含在00x0301TLSv1.10x0302TLSv1.20x0303三种版本中。heartbleed漏洞攻击主要由于攻击者构造异常的心跳数据包即心跳包中的长度字段与后续的数据字段不相符合来获取心跳数据所在的内存区域的后续数据。
其一般的攻击流程如下图所示 利用该漏洞攻击者可以远程读取服务器内存中64K的数据获取内存中的敏感信息。
漏洞利用 1使用shodan搜索引擎搜索站点 2打开Metasploit启动msf。然后使用 auxiliary/scanner/ssl/openssl_heart_bleed功能。 3执行run命令运行扫描器查看结果可以看到有Heartbeat response with leak的字样证明该站存在HeartBleed漏洞 4开启信息展示进行利用。 4、漏洞修复 建议升级openssl。此外做如下措施。
修改服务器密码重新配置私钥重新配置证书
