什麼是 Heartbleed 漏洞？

2010 年中期最著名的漏洞之一被稱為“Heartbleed”。Heartbleed 尤其嚴重，因為它影響了“OpenSSL”，這是 HTTPS 連接的主要加密庫，使用非常廣泛。更糟糕的是，該漏洞在被發現、公開和修補之前已經存在於 OpenSSL 中兩年多，這意味著很多人都在使用易受攻擊的版本。

Heartbleed 是心跳擴展中的一個數據洩漏漏洞，當利用該漏洞時，會將數據從 RAM 從服務器洩漏到客戶端。心跳擴展用於在不發出正常頁面請求的情況下維護 Web 服務器和客戶端之間的連接。

在 OpenSSL 的情況下，客戶端向服務器發送消息並通知服務器消息的長度，最大為 64KB。然後服務器應該回顯相同的消息。然而，至關重要的是，服務器實際上並沒有檢查消息是否與客戶端聲稱的一樣長。這意味著客戶端可以發送 10KB 的消息，聲稱它是 64KB 並獲得 64KB 的響應，額外的 54KB 由接下來的 54KB RAM 組成，無論那裡存儲了什麼數據。XKCD 漫畫 #1354很好地形象化了這個過程。

圖片由xkcd.com 提供。

通過發出大量小的心跳請求，並聲稱它們是大的請求，攻擊者可以通過將響應拼湊在一起來構建大部分服務器 RAM 的圖片。存儲在 RAM 中的可能洩露的數據包括加密密鑰、HTTPS 證書以及未加密的 POST 數據，例如用戶名和密碼。

注意：它鮮為人知，但心跳協議和漏洞利用也在另一個方向上起作用。惡意服務器可能被配置為每個心跳請求讀取多達 64KB 的用戶內存。

該問題由多名安全研究人員於 2014 年 4 月一日獨立發現，並私下向 OpenSSL 披露，因此可以創建補丁。該錯誤在 2014 年 4 月 7 日發布補丁時公佈。解決該問題的最佳解決方案是應用該補丁，但如果不立即修補，也可以通過禁用心跳擴展來修復該問題。選項。

不幸的是，儘管該漏洞是公開的並且廣為人知，但許多網站仍然沒有立即更新，甚至幾年後仍然偶爾會發現該漏洞。這導致許多漏洞利用實例被用於訪問帳戶或洩漏數據。