2014年4月8日晚,互联网爆出了又一重量级安全漏洞,即CVE-2014-0160,通俗来讲就是OpenSSL出现了安全漏洞。
说这个漏洞前,先介绍一下OpenSSL,OpenSSL是一个强大的安全套接字层密码库,很多支付网站等涉及资金交易的平台都用它来做加密工具,比如支付 宝,财付通,各种银行网站,那些带有Https网址的网站,都使用了这一套工具。也就是说它是一个保障账户安全的工具,而如今,这个保镖却被爆出自身就有严重漏洞,在https开头网址登录的网站,初步评估有不少于30%的网站中招。
简单说下攻击者是如何利用这个漏洞的:
OpenSSL的某个模块存在一个BUG,当攻击者构造一个特殊的数据包,满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出,该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长达64K的数据。
也就是说,当攻击者得到这64K数据后,就有可能从数据中得到当前用户的用户名,密码,Cookies等敏感信息,更要命的是,这是远程获取的,也就是攻击者只要在自己电脑上提交恶意数据包,就能从服务器上取得这些数据。不要认为区区64K问题不大,问题是攻击者可以反复提交,也就是能源源不断的得到“新的”64K,理所当然的包含了新的用户信息,因为网站的用户也是源源不断的嘛。
漏洞修复方案:
如果你是站长,请按照下面解决方案进行修复:
第一步:
Debian/Ubuntu:
# apt-get update
# apt-get install openssl libssl1.0.0
CentOS/Redhat/Fedora:
# yum update openssl
openSUSE:
# zypper in -t patch openSUSE-2014-277
如果没有源或者不想从源安装,请手工将OpenSSL升级至1.0.1g版本
第二步:
修复完毕后,请重启WEB服务,Apache/Nginx/Httpd的重启方式分别如下:
# /etc/init.d/apache2 restart
# /etc/init.d/ngnix restart
# /etc/init.d/httpd restart
还需要重启其他与OpenSSL相关的服务。(可通过 lsof | grep libssl | awk '{print $1}'| sort | uniq 查看与OpenSSL库相关的服务)。
重启完毕后,可以通过上面的检查框进行验证。
漏洞检测网站:
http://wangzhan.360.cn/heartbleed#xcc.edu.cn