DROWN漏洞

最新推荐文章于 2022-08-15 09:02:03 发布
最新推荐文章于 2022-08-15 09:02:03 发布
阅读量1.6k 收藏
点赞数
分类专栏： 技术文档

转载：http://ssl.zzidc.com/chanpinzixun/2016/0304/358.html

1.什么是DROWN漏洞？

"DROWN"全称是 Decrypting RSA with Obsolete and Weakened eNcryption，是指"利用过时的脆弱加密算法来对RSA算法进破解"，主要针对SSLv2协议漏洞来对TLS进行跨协议攻击。
 
    "DROWN攻击"主要影响支持SSLv2的服务端和客户端。SSLv2是一种古老的协议，许多客户端已经不支持使用，但由于配置上的问题，许多服务器仍然支持SSLv2。

    "DROWN"使得攻击者可以通过发送probe到支持SSLv2的使用相同密钥的服务端和客户端解密TLS通信。例如：将相同的私钥同时用在Web服务端和Email服务端，如果Email服务支持SSLv2，但web服务不支持，那么攻击者仍然能够利用EMAIL服务的SSLv2漏洞获取到web服务器的TLS连接数据。

2.如何搞定DROWN漏洞？
 
    1、景安建议用户不要用相同的私钥生成多张SSL证书，也不要将同一张SSL证书部署在多台服务器上。建议在每台服务器上均部署独立的SSL证书，这样攻击者将无法利用其它服务器的漏洞，对关键服务器进行攻击，即使其中一台服务器出现问题也不会影响其他服务器的正常运行。
 
   2、关闭所有服务器的SSLv2协议，大家可以参考【教程】IS7.0 禁用SSL 2.0 和 SSL 3.0 协议。
 
   3、如果使用了OpenSSL，大家可以参考OpenSSL官方给出的DROWN修复指南

piaoliangjinjin
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
复现awvs——DROWN跨协议攻击TLS漏洞(CVE-2016-0800),LogJam中间人安全限制绕过漏洞 (CVE-2015-4000)和Sweet32攻击漏洞(CVE-2016-2183)
记录并分享学习安全的知识点..
12-30 3867
1.首先介绍一下漏洞： （1）DROWN跨协议攻击TLS漏洞(CVE-2016-0800)： 现在流行的服务器和客户端使用TLS加密,SSL和TLS协议保证用户上网冲浪,购物,即时通信而不被第三方读取到，但是DROWN(溺亡)漏洞允许攻击者破坏这个加密体系,通过“中间人劫持攻击”读取或偷取敏感通信,包括密码,信用卡帐号,商业机密,金融数据等。 （2）LogJam中间人安全限制绕过漏洞 (CVE-2015-4000)： LogJam攻击是一个 SSL/TLS 漏洞，允许攻击者拦截易受攻击的客户端和服务
ssl漏洞检查
05-24
SSL漏洞 使用工具testssl.sh 服务 ssl 测试单个主机上的所有内容并输出到控制台 ./testssl.sh -e -E -f -p -y -Y -S -P -c -H -U TARGET-HOST 测试单个主机上的所有内容并输出到HTML ./testssl.sh -e -E -f -p -y -Y -S -P -c -H -U TARGET-HOST | aha> OUTPUT-FILE.html 测试子网上的所有主机并输出到HTML ./testssl.sh -e -E -f -p -y -Y -S -P -c -H -U 192.168.1.0/24 | aha> OUTPUT-FILE.html 与上述相同，但只列举每个服务器支持的密码类型： ./testssl.sh -E 192.168.1.0/24 | aha> OUTPUT-FILE.html Ssl证书过期 查看证书过期时间 SWEET32（CVE-2016-2183） ./testssl.sh --ciphers TARGET DROWN（CVE-2016-0800） ./testssl.sh -D TARGET FREAK（CVE-2015-0204） ./testssl -F TARGET Logjam（CVE-2015-4000） ./testssl.sh -J TARGET Heartbleed（CVE-2014-0160） ./testssl.sh -B 10.0.1.159 POODLE SSLv3（CVE-2014-3566） ./testssl.sh -O 10.0.1.159 CCS注入漏洞（CVE-2014-0224） ./testssl.sh -I TARGET POODLE TLS（CVE-2014-8730） ./testssl.sh -O 10.0.1.159 BREACH（CVE-2013-3587） ./testssl.sh -T TARGET RC4 CVE-2013-2566 ./testssl.sh -E TARGET Renegotiation（CVE-2009-3555） ./testssl.sh -R 10.0.1.159
影响1100万网站的漏洞出没作妖，工程师急cry，怎么办？
weixin_34294649的博客
09-01 90
本是阳春三月好时光，OpenSSL却在此时爆出了高危漏洞drown，一时间让运维小哥们头顶阴云笼罩。这个在安全圈掀起惊涛骇浪的drown漏洞到底是何方妖孽？！运维同学们该如何将它消灭？且听云小哥为您解答。drown漏洞是什么？ 在北京时间2016年3月2日，OpenSSL官方发布安全公告，公布了一利用SSLv2协议弱点来对TLS进行跨协议攻击的安全漏洞C...
OpenSSL又出新漏洞 影响33%的 HTTPS服务器
weixin_34080951的博客
03-03 178
2019独角兽企业重金招聘Python工程师标准>>> ...
Drown跨协议攻击TLS漏洞分析
蔚可云的博客
02-15 2758
北京时间 2016年3月2日，OpenSSL官方发布了新的安全公告。公告中提及修复了一个高危漏洞——DROWN跨协议攻击TLS漏洞。百度云安全威胁管理团队联合百度安全应急响应中心第一时间对事件触发应急响应和全网感知，深度分析了漏洞的危害和影响范围。 经分析，攻击者利用该漏洞可突破目前广泛使用的依赖SSL和TLS安全加密体系，互联网中有大约1100万站点或者服务受到此漏洞影响。 一、Drown跨协议攻击TLS漏洞分析 漏洞危害 攻击者通过中间人攻击等手段截获和解密用户和服务器之间的加密通信，包.
TLS/SSl相关的攻击漏洞及检测方法大杂烩！
qq_50854662的博客
08-15 3594
TLS/SSl相关的攻击漏洞及检测方法大杂烩！
常见的几种SSL/TLS漏洞及攻击方式
weixin_33755557的博客
01-06 4127
原文阅读：https://www.infinisign.com/fa... 迄今为止，SSL/TLS已经阻止了基于SSL的无数次的网络攻击，本文介绍了SSL/TLS常见的几种漏洞以及过往的攻击方式，针对这些漏洞及攻击摒弃了老旧的加密算法，详细如下： Export 加密算法 Export是一种老旧的弱加密算法，是被美国法律标示为可出口的加...
三步应对OpenSSL新型漏洞DROWN
weixin_34250434的博客
03-03 448
OpenSSL爆出新型安全漏洞，“DROWN”全称是 Decrypting RSA with Obsolete and Weakened eNcryption，即“利用过时的脆弱加密算法来对RSA算法进破解”，指利用SSLv2协议漏洞来对TLS进行跨协议攻击。该漏洞将对SSL协议造成安全威胁，攻击者有可能利用这个漏洞对https站点进行攻...
OpenSSL DROWN溺亡漏洞的检测及修复方法
xuyaqun的专栏
03-07 6324
一、漏洞描述： 现在流行的服务器和客户端使用TLS加密,SSL和TLS协议保证用户上网冲浪,购物,即时通信而不被第三方读取到。DROWN(溺亡)漏洞允许攻击者破坏这个加密体系,通过“中间人劫持攻击”读取或偷取敏感通信,包括密码,信用卡帐号,商业机密,金融数据等。二、漏洞影响： 大部分支持SSLv2的服务器均会受到该漏洞影响，比如启用了ssl、tls加密的web服务器、邮件服务器。三、检测方法：
Python-publicdrownscanner提供对TLS的DROWN攻击扫描
08-10
public_drown_scanner-提供对 TLS 的 DROWN 攻击扫描
drown_c_thread.rar_C# 双缓冲绘图_C# 绘图_C＃ 游戏_Drown_c＃ 多线程
09-19
c#实现双缓冲绘图,多线程进行绘图操作. 模拟c++游戏绘图
navmegadrownevo-v3.0:菜单 Mega Drown Evolution v3.0
06-30
navmegadrownevo-v3.0 Mega Drown Evolution 菜单 v3.0，适用于 PrestaShop 1.6 V3.0仍在开发中。
mosh:基于https上的Dan Drown的回购协议的Android兼容mosh客户端
05-11
莫什：手机壳 Mosh是一个远程终端应用程序，它支持间歇性连接，允许漫游并提供推测性的本地回显和用户击键的行编辑。 它旨在支持SSH的典型交互式用法，以及： 如果客户端进入睡眠状态并稍后唤醒，或者暂时失去其...
分布式系统.pptx
04-29
分布式系统.pptx
源代码-360通用ASP防护代码(防sql注入).zip
04-29
源代码-360通用ASP防护代码(防sql注入).zip
node-v8.1.0-darwin-x64.tar.gz
04-29
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
2020年ti杯电赛省赛A题代码整理
04-29
2020年ti杯电赛省赛a题的项目 分为 手机端（android），主显示端，姿态检测手环端，心率滤波读取端 mcu 采用的是esp32.结合了适配esp32的arduino以及rtos框架进行开发。 开发环境 及 语言 安卓为android studio java开发 esp32为platform io c/c++ 节点间通信方式 tcp直连，手机端为总服务端 手机端 android 原生开发 主显示端 屏幕ili9341 spi 触摸xpt2046 图形 adafruit gfx ad芯片 ads112c04 测温 lmt70 姿态检测端 9轴 bno055 心率检测 心电 ads1292
node-v6.15.0-sunos-x64.tar.gz
04-29
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
node-v9.3.0-x86.msi
最新发布
04-29
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
elementui-plus中drown下拉菜单的用法
04-28
elementui-plus是一个基于Vue.js框架开发的前端UI组件库，其中包括了drown下拉菜单组件，可以用于创建一个下拉菜单，用于选择不同的选项。 使用drown下拉菜单需要先安装elementui-plus，并在Vue组件的标签内引入该...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值