資訊專欄INFORMATION COLUMN
摘要：可以探測你的服務(wù)器是否存在漏洞心臟出血漏洞。如何使用檢測心臟出血漏洞安裝可以在下載編譯好的二進(jìn)制文件的壓縮包。如何修復(fù)將受影響的服務(wù)器下線，避免它繼續(xù)泄露敏感信息。撤銷現(xiàn)有的會話。要求用戶修改密碼。
heartbleeder 可以探測你的服務(wù)器是否存在 OpenSSL CVE-2014-0160 漏洞 （心臟出血漏洞）。
什么是心臟出血漏洞？CVE-2014-0160，心臟出血漏洞，是一個非常嚴(yán)重的 OpenSSL 漏洞。這個漏洞使得攻擊者可以從存在漏洞的服務(wù)器上讀取64KB大小的內(nèi)存信息。這些信息中可能包含非常敏感的信息，包括用戶請求、密碼甚至證書的私鑰。
據(jù)稱，已經(jīng)有攻擊者在某寶上嘗試使用漏洞讀取數(shù)據(jù)，在讀取200次后，獲取了40多個用戶名和7個密碼。
如何使用 heartbleeder 檢測心臟出血漏洞？ 安裝可以在gobuild.io下載編譯好的二進(jìn)制文件的壓縮包。包括Windows、Linux、MacOSX。
由于服務(wù)器操作系統(tǒng)最常用的是Linux，因此這里提供一下下載Linux二進(jìn)制壓縮包的命令：
Linux(amd64)
wget http://gobuild.io/github.com/titanous/heartbleeder/master/linux/amd64 -O output.zip
Linux(i386)
wget http://gobuild.io/github.com/titanous/heartbleeder/master/linux/386 -O output.zip
下載后解壓縮即可。
也可以自行編譯安裝（Go版本需在1.2以上）， 使用如下命令：
go get github.com/titanous/heartbleeder
二進(jìn)制文件會放置在 $GOPATH/bin/heartbleeder。
使用$ heartbleeder example.com INSECURE - example.com:443 has the heartbeat extension enabled and is vulnerable
Postgres 默認(rèn)在 5432 端口使用 OpenSSL，如果你使用Postgres服務(wù)器，則需使用如下命令：
$ heartbleeder -pg example.com SECURE - example:5432 does not have the heartbeat extension enabled如何手工檢測心臟出血漏洞
如果不方便安裝heartbleeder，或者不放心自動檢測的結(jié)果，也可以手動檢測。
首先判斷服務(wù)器上的Openssl版本是否是有漏洞的版本。目前有漏洞的版本有： 1.0.1-1.0.1f（包含1.0.1f）以及 1.0.2-beta。你可以使用如下的命令查看服務(wù)器上的當(dāng)前版本：
openssl version
接著你需要判斷是否開啟了心跳擴(kuò)展：
openssl s_client -connect 你的網(wǎng)站:443 -tlsextdebug 2>&1| grep "TLS server extension "heartbeat" (id=15), len=1"
如果以上兩個條件你都滿足的話，很遺憾，你的服務(wù)器受此漏洞影響，需要盡快修復(fù)。
如何修復(fù)將受影響的服務(wù)器下線，避免它繼續(xù)泄露敏感信息。
停止舊版的 openssl 服務(wù)，升級 openssl 到新版本，并重新啟動。
生成新密鑰。（因?yàn)楣粽呖赡芡ㄟ^漏洞獲取私鑰。）將新密鑰提交給你的CA，獲得新的認(rèn)證之后在服務(wù)器上安裝新密鑰。
服務(wù)器上線。
撤銷舊認(rèn)證。
撤銷現(xiàn)有的會話cookies。
要求用戶修改密碼。
編撰 SegmentFault
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/11127.html
摘要：是一個基于的輕量持續(xù)實(shí)時的模塊。通過流量分析，可以實(shí)現(xiàn)更有效地監(jiān)控網(wǎng)絡(luò)的狀況。目前已有大量設(shè)備支持協(xié)議。通過分布在網(wǎng)絡(luò)不同位置的將數(shù)據(jù)傳送給中央采集器，由中央采集器進(jìn)行分析。使用采樣分析技術(shù)。這是問題的臨時解決方案。 mod_sflow是一個基于 Apache 的輕量、持續(xù)、實(shí)時的 sFlow 模塊。 showImg(http://segmentfault.com/img/bVb6R...
摘要：用于安全的數(shù)據(jù)傳輸。表明它使用了，但存在不同于的默認(rèn)端口及一個加密身份驗(yàn)證層在與之間。申請證書網(wǎng)上已經(jīng)有不少機(jī)構(gòu)提供個人免費(fèi)證書，有效期幾個月到幾年不等，博主使用的是申請成功后有效期年，到期后可免費(fèi)續(xù)租。 前言 隨著國內(nèi)各大網(wǎng)站紛紛開啟全站 HTTPS 時代，HTTPS 已不再是支付等敏感操作過程的專屬，開啟 HTTPS 對于個人網(wǎng)站或者小型網(wǎng)站也不再遙不可及。 今天博主就以自己的網(wǎng)站...
摘要：在十年未變安全，誰之責(zé)上中，我們介紹了安全領(lǐng)域的現(xiàn)狀和新的解決方案，那么究竟是什么它在應(yīng)用安全多變的今天又能帶給我們什么樣效果我們將通過何種方式才能打贏這場與黑客之間的攻堅(jiān)戰(zhàn)呢應(yīng)用安全行業(yè)快速發(fā)展的數(shù)十年間，出現(xiàn)了許多巨變。 在 十年未變！安全，誰之責(zé)？（上）中，我們介紹了安全領(lǐng)域的現(xiàn)狀和RASP新的解決方案，那么 RASP 究竟是什么？它在應(yīng)用安全多變 的今天又能帶給我們什么樣效果？...
閱讀 3893·2021-09-27 13:36
閱讀 4627·2021-09-22 15:12
閱讀 3072·2021-09-13 10:29
閱讀 1840·2021-09-10 10:50
閱讀 2374·2021-09-03 10:43
閱讀 528·2019-08-29 17:10
閱讀 453·2019-08-26 13:52
閱讀 3265·2019-08-23 14:37
