黑帽大会：超过60%网站SSL配置不当

6顶
1踩

2010-08-06 12:01 by 副主编 just_cool 评论(1) 有3520人浏览

网络应用安全浏览器

所有SSL服务器中有一半以上运行较旧的不安全版本的SSL，黑帽大会上详细分析了针对HTTPS浏览器会话的攻击。
关于SSL网站的好消息就是：大多数SSL网站都运行着强大的加密技术。坏消息就是：超过60%的网站配置不当。Qualys公司的工程、网络应用程序防火墙和SSL主管和兼究人员Ivan Ristic公布了他对1.2亿注册域名的研究结果。Ristic发现其中2000万注册域名支持SSL，而只有72万可能包含有效SSL证书，“这是非常小的比例，但是这并不真正意味着只有一小部分网站在使用SSL，据我们所知，”Ristic表示。

更能说明问题的是，在所有SSL网站中，一半以上在使用SSLv2，这是较旧版本的SSL，并且不安全。只有38%的SSL网站配置良好，而 32%在协议中包含之前曝光的重新谈判漏洞。

与此同时，研究人员Robert Hansen and Josh Sokol详细说明了针对浏览器的HTTPS/SSL的24种利用技术，利用的是中间人攻击。其中包括：cookie中毒和注入恶意内容到浏览器标签。研究人员警告说，HTTPS并不能保证浏览器的保密性和完整性。

“天并没有塌下来，但是目前来说，SSL是相当脆弱的，”Hansen在黑帽大会中表示，“需要有适当的标签隔离、cookie沙盒等。”他推荐使用单独的浏览器来访问包含敏感信息的网站。

同时，Ristic表示，虽然SSL网站的状态在安全方面来说很“一般”，不过现在SSL还很少被攻击者攻击。“我认为，SSL并不是现在常见的攻击向量，因为还有更多更容易攻击的对象，现在我们应该开始修复SSL的问题，这是可以修复的问题。”

三分之二的SSL网站使用的是默认设置，这使它们很容易受到攻击，“为了解决这个问题，你应该提高警惕，与最终用户或者供应商交谈，看看是否能实现更好的配置，这可能也是更可行的解决方案，”Ristic表示。例如，对SSL服务器中不安全协议的默认支持就是一个常见错误问题。

“要配置好SSL服务器只需要花15分钟，为证书选择密钥尺寸，禁用不安全协议，并禁用不安全密码。”

而不安全的SSLv2很容易受到中间人攻击，虽然该版本SSL在大多数主流浏览器中已经禁用，但仍然运行很多SSL网站，“最可悲的就是，超过一半SSL网站支持SSL2，几年来，我们一直知道这是不安全的。”

他发现，而在SSL网站，反而很少或者不支持较安全的TLS1.1和1.2协议。

但调查发现，大多数SSL网站都使用了强大的加密技术，128位甚至更高。整体而言，Ristic表示，只有38.4%的SSL网站在安全和配置方面能够得到A，而只有61.46%可以得到B或者更低分。Ristic计划公布此次调查的所有数据，并且计划每年进行一次调查。

来自: it168

分享到：

6
顶

1
踩

评论共 1 条请登录后发表评论

1 楼 java378656992 2010-08-23 11:37

[url][/url][flash=200,200][/flash]

引用

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

HOOK API V0.1 VB.NET版

HOOK API工具，基于调试模式。纯VB.NET代码，没有半句汇编。

.net 的hook 设计

今天，有个同事问我，怎样在C#中使用全局钩子？以前写的全局钩子都是用unmanaged C或C++写个DLL来实现，可大家都知道，C#是基于.Net Framework的，是managed，怎么实现全局钩子呢？于是开始到网上搜索，好不容易找到一篇，318804 - HOW TO: Set a Windows Hook in Visual C# .NET，里面详细的说明了如何使用鼠标钩子捕获鼠标的移...

DotNetHooking：.NET原生代码钩子技术实战教程

DotNetHooking：.NET原生代码钩子技术实战教程 DotNetHookingSample use cases of the .NET native code hooking technique项目地址:https://gitcode.com/gh_mirrors/do/DotNetHooking 项目介绍 DotNetHooking 是一个.NET框架下的代码钩子实现项目，它无需依...

.net中的钩子

前言 Host startup hook，是2.2中提供的一项新的功能，通过使用主机启动钩子，允许开发人员在不修改代码的情况下，在服务启动之前注入代码；通过使用钩子，可以对已部署好的服务在服务启动期间自定义托管程序的行为；通过使用钩子，可以对服务进行跟踪或者遥测，也可以在服务启动前对托管环境进行健康检查；还可以通过钩子动态加载程序集进行依赖注入等功能。什么是钩子钩子...

VB.net中HOOK的应用

由于Hook种类较多，本文中以最常用的键盘Hook为例进行分析。一、先来看一下在vb中是如何实现的。截的是空格键。表现的目标是：一个form，上面有一个textbox，不管焦点是否落在textbox里，按空格键，不会在textbox中输入一个空格，而是变成在textbox中写入一句话：“HOOK成功！”1.在一个Module中写入下列代码：调用的API的申明：Declare Fun

用.NET的思想讲述HOOK钩子

基本概念钩子(Hook)，是Windows消息处理机制的一个平台，应用程序自己编写函数来监视指定窗口的某种消息（如键盘事件，鼠标事件等），而且所监视的窗口可以是由其他进程创建的，当消息到达目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。钩子实际上是一个处理消息的程序段，系统自动将它加载到要监视的进程中。每当特定的消息发出，在没有到达...

C# EasyHook MessageBox 完整示例（绝对原创） .net4.0 支持 x86 x64

C# 最简单使用 EasyHook 源码，极简而全，Hook入门者，让大家都会Hook。支持注入托管非托管程序，32位和64位程序，windows 10 x64 调试通过。

VB按键精灵源码（使用鼠标hook）

可以对脚本进行编辑，支持脚本录制（需要关闭360，可能是全局hook冲突）键盘，鼠标模拟

浅谈VB.NET中的跨进程消息钩子(转载)

我们都知道在VB6里面可以用API函数来进行子类化，以处理自身的窗体过程；如果跨进程，这就麻烦了，由于我们的函数在我们的进程中（废话），而目标进程的窗口的消息处理函数在目标进程（还是废话），所以只能想办法把我们的代码放到对方进程中去执行——并且要告知我们的进程得到了什么消息。恐怕写汇编就有点吓人了，于是大家都写DLL，其原理就是把回调函数放到一个DLL里面注入到对方进程，DLL去修改目标窗...

.NETHookAPI

http://dotnethook.sourceforge.net/ 这里有对.NET程序进行hook的文档和代码下载，值得学习一下。

纯C#实现Hook功能详解

发布一个自己写的用于Hook .Net方法的类库，代码量不大，完全的C#代码实现，是一个比较有趣的功能，分享出来希望能和大家共同探讨安装：Install-Package DotNetDetour源码：http://xiazai.jb51.net/201701/yuanma/DotNetDetour_jb51.rar1.为何想做这个说到hook大家都应该不陌生，就是改变函数的执行流程，让本应该执行的...

6顶1踩