OpenSSL心脏滴血漏洞

OpenSSL心脏滴血漏洞

关于OpenSSL

OpenSSL是为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议．多数SSL加密网站是用名为OpenSSL的开源软件包，由于这也是互联网应用最广泛的安全传输方法，被网银、在线支付、电商网站、门户网站、电子邮件等重要网站广泛使用，所以漏洞影响范围广大。

漏洞原因

在OpenSSL1.0.1版本中存在严重漏洞（CVE-2014-0160），此次漏洞问题存在于ssl/dl_both.c文件中。OpenSSL Heartbleed模块存在一个BUG，当攻击者构造一个特殊的数据包，满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出，该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长大64K的数据。

漏洞影响范围

• 受影响的版本
  OpenSSL 1.0.2-beta
  OpenSSL 1.0.1 - OpenSSL 1.0.1f
• 不受影响的版本
  OpenSSL 1.0.1g is NOT vulnerable
  OpenSSL 1.0.0 branch is NOT vulnerable
  OpenSSL 0.9.8 branch is NOT vulnerable

漏洞危害

1. 泄露我们的网站登录名和密码、期间修改过的个人隐私信息、期间修改过的密码保护问题答案，还有信用卡信息和邮件服务器的上的邮箱地址和密码hash。

2. 新的攻击方式已出现，攻击者能利用该漏洞窃走受影响网站的用户密码和私钥，使用存在漏洞的OpenSSL版本的网