취약점 영향 30-50% 웹 사이트 HTTPS

XP 서비스의 공식적인 정지를 발표 하는 때 일 Openssl 큰 구멍으로 파열 하는 때 일도 있었다.

모든 오후 우리는 국가 비상사태, 긴장의 정신으로,이 취약점에 영향을 미치는 정기적으로 방문을 포함 하 여 HTTPS 사이트의 사용의 30-50% 비율: Alipay, 마이크로-편지, Taobao, 인터넷 뱅킹, 사회, 포털 및 기타 잘 알려진 사이트.

HTTPS에 대 한 사이트 액세스 데이터를 스니핑의 위험이 있을 수 있습니다로 약 5 시 오후 Zoomeye에 완료이 데이터 검색: 국가 443 포트: 1601250, 33,303이 OpenSSL 취약점에 의해 영향을 받습니다! 알지 얼마나 많은 사용 HTTPS 세계에 위협.

OpenSSL 무엇입니까?

키 암호화 알고리즘을 포괄 하는 네트워크 통신에 대 한 보안 및 데이터 무결성을 제공 하는 보안 프로토콜은 일반적으로 키 및 인증서 캡슐화 관리 기능, 및 SSL 프로토콜을 사용 하 고 테스트를 위한 다양 한 응용 프로그램 또는 다른 목적을 제공 합니다.

OpenSSL 취약점

OpenSSL는 네트워크 통신의 고 강도 암호화를 달성 하는 데 사용 하는 오픈 소스 SSL 구현 하 고 다양 한 네트워크 응용 프로그램에서 널리 사용 지금. 공격자가 사용자의 하트 비트 패킷 만족 하 고 공격자가 취약 한 버전의 원격으로 읽을 수 있는 SSLv3 기록 후 데이터를 직접 출력을 memcpy를 일으킬 충분 한 데이터를 제공 하지 않습니다 특수 패킷을 구성 하는 OpenSSL Heartbleed 모듈에 버그가 있다는 OpenSSL 64 K 데이터 서버 메모리에서 성장.

이 취약점을 가진 버전

1.0.1F (포함)를 통해 1.0.1 OpenSSL은 취약
OpenSSL 1.0.1g는 취약
OpenSSL 1.0.0 분기는 취약
OpenSSL 0.9.8 분기는 취약
간단히 말해서, 해커 웹 사이트 공격 (이 취약점은) HTTPS를 사용할 수 있습니다, 그리고 각 연속 반복 수집, 메모리, 메모리 64 K 데이터 서버에 프로그램 소스 코드, 사용자 HTTP 원래 요청, 사용자 쿠키 또는 심지어 일반 계정 암호 포함 될 수 있습니다 읽을.

누출 후 탈출,

회사 작업 파티, 안전 비상 초기 경고 복구 업그레이드, 파티 B는 얼마나 많은 사이트에 영향을 받는 테스트 인터넷 있도록 바쁜 시작과 탐지 스크립트의 도입, 네티즌을 모른다. 마이크로 보 전체 화면 허점의 OpenSSL 버스트 순수만 볼 수 있습니다! 해커는 시작 하기 시작! 하지만 그것은 참으로 잠 못 드는 밤, 너무 많은 웹사이트에 영향을 받습니다, 그리고 많은 사용자는 여전히 호랑이 입에 사이트를 방문.

기술이이 허점을 연구 하 고 그들의 자신의 탐지 스크립트 및 스니퍼 절차, 이해가 안 작은 해커도 맞게 작성 시작 아는 사람이이 허점, 궁극적으로, 피해자는 아직도 무식 한 사람들.

이 허점은 얼마나 영향을 줍니까?

그럼 우리가 야 후 포털 홈, 마이크로 편지 공개 번호, 마이크로 편지 웹 버전, YY 언어, Taobao, 발견 그물은, 모 모, 사회, 포털 사이트는이 취약점 존재.

위의 데이터의 모 부분에 스니핑, 자세한 위도 및 경도, 모 UID, 버전, 휴대 전화 모델 세부 정보를 포함 하는 전체.

또한, 다른 소셜 네트워킹 사이트에 있어 사용자 로그인 계정 및 암호 및 심지어 보안 질문 및 답변, 일반 텍스트로 전송에 사용 되는 암호가 어디, 내가 성공적으로 공격 하는 이러한 취약점을 통해 기록의 수백을 물론, 내가 아무것도 하지 않았다, 테스트용.

사용자 변경 암호를 보내는 메시지, 로그인 등 요청 뿐만 아니라 모든 데이터 패키지에서 제공 하는 많은 작업, 여기 더 영향을 받는 웹 사이트를 열거 하지 않습니다. 사실,이 허점은 빠르면 2012, 어제 CVE 번호 cve-2014-0160,8로 공식적으로 파산 때까지 발굴 되어 있다. HTTPS 웹 사이트를 사용 하 여 주로 하기 때문에 데이터 스니핑 방지 하기 위해 암호화 하는 데 필요한 다른 공격 후 구멍의 발발 완전히 휴식 문, 듣기의 상태에서 너무 많은 사이트입니다.

POC는 이미 발표 되었습니다이 취약점, Wooyun 취약점 플랫폼에 너무 많은 흰색 모자 사이트의 광범위 한 범위에 브러시 포인트를 테스트 하기 시작 하 고 현장 꽤 탁월 했다:

따라서, 취약점은 하지 사용자 보안, 사이트, 사용자가 취약점의 OpenSSL 버전 사용으로 사이트에 로그인 수 있습니다 해커 로그인 계정 및 암호의 실시간 모니터링, 수이 취약점 제공 되어야 서비스 공급자 OpenSSL 업그레이드 가능 한 한 빨리.

만족은 같은 Tencent, NetEase, Taobao의 비상 대응 속도, 사이트의 기존 OpenSSL 문제 많은 보안 문제의 이러한 큰 제조 업체, 수리 나머지 믿어의 나머지를 신속 하 게 복구 흰 모자 노력을 통해 될 것입니다.