什麼是 Heartbleed 漏洞?

2010 年中期最著名的漏洞之一被稱為“Heartbleed”。Heartbleed 尤其嚴重,因為它影響了“OpenSSL”,這是 HTTPS 連接的主要加密庫,使用非常廣泛。更糟糕的是,該漏洞在被發現、公開和修補之前已經存在於 OpenSSL 中兩年多,這意味著很多人都在使用易受攻擊的版本。

Heartbleed 是心跳擴展中的一個數據洩漏漏洞,當利用該漏洞時,會將數據從 RAM 從服務器洩漏到客戶端。心跳擴展用於在不發出正常頁面請求的情況下維護 Web 服務器和客戶端之間的連接。

在 OpenSSL 的情況下,客戶端向服務器發送消息並通知服務器消息的長度,最大為 64KB。然後服務器應該回顯相同的消息。然而,至關重要的是,服務器實際上並沒有檢查消息是否與客戶端聲稱的一樣長。這意味著客戶端可以發送 10KB 的消息,聲稱它是 64KB 並獲得 64KB 的響應,額外的 54KB 由接下來的 54KB RAM 組成,無論那裡存儲了什麼數據。XKCD 漫畫 #1354很好地形象化了這個過程。

什麼是 Heartbleed 漏洞?

圖片由xkcd.com 提供

通過發出大量小的心跳請求,並聲稱它們是大的請求,攻擊者可以通過將響應拼湊在一起來構建大部分服務器 RAM 的圖片。存儲在 RAM 中的可能洩露的數據包括加密密鑰、HTTPS 證書以及未加密的 POST 數據,例如用戶名和密碼。

注意:它鮮為人知,但心跳協議和漏洞利用也在另一個方向上起作用。惡意服務器可能被配置為每個心跳請求讀取多達 64KB 的用戶內存。

該問題由多名安全研究人員於 2014 年 4 月一日獨立發現,並私下向 OpenSSL 披露,因此可以創建補丁。該錯誤在 2014 年 4 月 7 日發布補丁時公佈。解決該問題的最佳解決方案是應用該補丁,但如果不立即修補,也可以通過禁用心跳擴展來修復該問題。選項。

不幸的是,儘管該漏洞是公開的並且廣為人知,但許多網站仍然沒有立即更新,甚至幾年後仍然偶爾會發現該漏洞。這導致許多漏洞利用實例被用於訪問帳戶或洩漏數據。



Leave a Comment

如何強制 Google Chrome 始終顯示完整網址

如何強制 Google Chrome 始終顯示完整網址

預設情況下,Chrome 不會顯示完整的 URL。您可能不太關心這個細節,但如果由於某種原因您需要顯示完整的 URL,請參閱有關如何使 Google Chrome 在網址列中顯示完整 URL 的詳細說明。

如何恢復舊版 Reddit

如何恢復舊版 Reddit

Reddit 於 2024 年 1 月再次更改了設計。桌面瀏覽器用戶可以看到重新設計,並在提供連結的同時縮小了主提要範圍

如何使用 Google Lens 複製教科書中的內容

如何使用 Google Lens 複製教科書中的內容

將書中您最喜歡的引言輸入 Facebook 非常耗時,而且充滿錯誤。了解如何使用 Google Lens 將圖書中的文字複製到您的裝置。

修復 Chrome 中找不到伺服器 DNS 位址的問題

修復 Chrome 中找不到伺服器 DNS 位址的問題

有時,當您使用 Chrome 時,您無法造訪某些網站並收到錯誤「在 Chrome 中找不到修復伺服器 DNS 位址」。以下是解決該問題的方法。

如何在 Google Home 上建立提醒的快速指南

如何在 Google Home 上建立提醒的快速指南

提醒功能一直是Google Home的一大亮點。它們確實讓我們的生活更輕鬆。讓我們快速瀏覽一下如何在 Google Home 上建立提醒,這樣您就不會錯過處理重要的事務。

Snapchat“僅限我的眼睛”:這意味著什麼以及如何設置

Snapchat“僅限我的眼睛”:這意味著什麼以及如何設置

我們都有想要保密的 Snap,無論是個人照片,還是您不希望其他人使用您的手機看到的內容。您已經可以在 Snapchat 上創建私人故事,現在,對於那些額外的私人 Snap,您可以使用 My Eyes Only Snapchat 功能來保護您的 Snapchat 隱私。

如何將 PS5 遊戲安裝或移動到外部硬盤

如何將 PS5 遊戲安裝或移動到外部硬盤

您的 PlayStation 5s 825GB 內部存儲驅動器看​​起來很多,但現代視頻遊戲可能很大。許多遊戲需要 50GB 以上,有些甚至超過 100GB。

如何在 Gmail 中使用郵件合併

如何在 Gmail 中使用郵件合併

當您想要向客戶、客戶、員工、俱樂部成員或類似群組發送同一封電子郵件時,您可以輸入一封電子郵件並使用 Gmail 郵件合併工具向所有人發送消息。Gmail 中的郵件合併曾經被稱為“多重發送”功能,可讓您插入 Google 通訊錄或 Google 表格中的郵寄列表。

Netflix:更改密碼

Netflix:更改密碼

如何使用您喜歡的瀏覽器或 Android 應用程式更改 Netflix 串流影片服務的密碼。

如何清除三星手機上的緩存

如何清除三星手機上的緩存

有時,應用程序可能加載緩慢、崩潰或占用過多存儲空間。清除手機的緩存數據可以幫助解決這些問題並為其他重要文件騰出空間。