服务热线:0731-88395100

2014年4月30日OpenSSL心血漏洞CVE-2014-0160

时间:2017-11-01 11:18来源: 作者: 点击:

通报2: OpenSSL心血漏洞CVE-2014-0160
2014年4月8日晚,互联网爆出了又一重量级安全漏洞,即CVE-2014-0160,通俗来讲就是OpenSSL出现了安全漏洞。

    说这个漏洞前,先介绍一下OpenSSL,OpenSSL是一个强大的安全套接字层密码库,很多支付网站等涉及资金交易的平台都用它来做加密工具,比如支付宝,财付通,各种银行网站,那些带有Https网址的网站,都使用了这一套工具。也就是说它是一个保障账户安全的工具,而如今,这个保镖却被爆出自身就有严重漏洞,在https开头网址登录的网站,初步评估有不少于30%的网站中招。

    简单说下攻击者是如何利用这个漏洞的:

OpenSSL的某个模块存在一个BUG,当攻击者构造一个特殊的数据包,满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出,该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长大64K的数据。

    也就是说,当攻击者得到这64K数据后,就有可能从数据中得到当前用户的用户名,密码,Cookies等敏感信息,更要命的是,这是远程获取的,也就是攻击者只要在自己电脑上提交恶意数据包,就能从服务器上取得这些数据。不要认为区区64K问题不大,问题是攻击者可以反复提交,也就是能源于不断的得到“新的”64K,理所当然的包含了新的用户信息,因为网站的用户也是源源不断的嘛。

防范手段:

    1.网站方面,管理员及时下载OpenSSL补丁,升级OpenSSL 1.0.1g,通知用户在升级期间不要登录网站。

    2.用户方面,暂时不要登录各大支付网站,网上银行。等网站通知漏洞已修复再登录。

(责任编辑:admin)

下一篇:没有了

上一篇:2014年4月30日 医疗设备存在被黑客入侵的危险 可

雨人网安