资讯频道 → 互联网
阅读更多

5顶
1踩

互联网

转载新闻 OpenSSL曝重大安全漏洞，可致网购支付密码泄露

2014-04-09 10:00 by 副主编 WnouM 评论(7) 有10635人浏览
OpenSSL 安全协议 漏洞
安全协议OpenSSL昨日（4月8日）爆出本年度最严重的安全漏洞。此漏洞在黑客社区中被命名为“心脏出血”，利用该漏洞，黑客坐在自己家里电脑前，就可以实时获取到约30% https开头网址的用户登录账号密码，包括大批网银、购物网站、电子邮件等。

OpenSSL是为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，目前正在各大网银、在线支付、电商网站、门户网站、电子邮件等重要网站上广泛使用。

360安全专家石晓虹介绍说，OpenSSL此漏洞堪称网络核弹，网银、网购、网上支付、邮箱等众多网站受其影响。无论用户电脑多么安全，只要网站使用了存在漏洞的OpenSSL版本，用户登录该网站时就可能被黑客实时监控到登录账号和密码。

此次漏洞的成因是OpenSSL Heartbleed模块存在一个BUG，当攻击者构造一个特殊的数据包，满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出，该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长大64K的数据。

据了解，8日下午，大量网站已开始紧急修复此OpenSSL高危漏洞，但是修复此漏洞普遍需要半个小时到一个小时时间，大型网站修复时间会更长一些。

受影响的OpenSSL版本

  • OpenSSL 1.0.1 ~ 1.0.1f 受影响
  • OpenSSL 1.0.1g 不受影响
  • OpenSSL 1.0.0 分支不受影响
  • OpenSSL 0.9.8 分支不受影响
可以通过以下网址来测试你的网站是否受到波及

修复建议

  • 降至1.0.0之前的版本
  • 升级OpenSSL 1.0.1g
  • 使用-DOPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块


来自: 新浪科技
5
顶
1
踩
评论 共 7 条 请登录后发表评论
7 楼 kangqian888 2014-05-05 18:42 
[list]
[*][img][url][flash=200,200][*][*]
[/flash][/url][/img]
[/list]
6 楼 thunderwap 2014-04-13 11:08
感觉危害挺大的,利用异常获取用户信息，看来程序中对异常的处理至关重要。
5 楼 yangshubao 2014-04-10 18:21
公司的人在升级呢现在
4 楼 yangshubao 2014-04-10 18:19
不是很清楚，看公司的人在升级呢
3 楼 BUYAOZAIBEIDAOLE 2014-04-10 08:43
我靠这么严重，赶紧修复。
2 楼 freezingsky 2014-04-09 22:31
openSSL,openSSH 涉及的范围不少。特别是在linux之类的系统上。
1 楼 gundumw100 2014-04-09 14:24
不懂这个。

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • OpenSSL曝重大安全漏洞

    安全协议OpenSSL今日爆出本年度最严重的安全漏洞。此漏洞在黑客社区中被命名为“心脏出血”，利用该漏洞，黑客坐在自己家里电脑前，就可以实时获取到用户登录账号密码，或欺骗用户访问钓鱼网站。 　OpenSSL是为网络...

  • OpenSSL曝重大缺陷 威胁网银、微信、淘宝等账户密码安全

    8日，常用于电商、网银等安全性极高网站的网络安全协议OpenSSL被曝出存在安全漏洞，危及全球包括银行、电商在内的关键部门和普通用户财产和信息安全。这一漏洞一旦被恶意利用，意味着用户登录这些电商、网银的账户、...

  • openssl-heartbleed漏洞学习

    了解漏洞 Heartbleed漏洞： ...攻击者可以追踪OpenSSL所分配的64KB缓存、将超出必要范围的字节信息复制到缓存当中再返回缓存内容，这样一来受害者的内存内容就会以每次64KB的速度进行泄露。 背景和影响：...

  • 支付宝openssl漏洞肆虐 互联网巨头称目前已修复

    支付宝openssl漏洞肆虐 互联网巨头称目前已修复 　金山毒霸安全专家李铁军表示,这个漏洞使黑客可以远程读取https服务器的随机64KB内存,“只要这个黑客有耐心多捕获多分析那些64KB的数据,用户访问网站的cookies、SSL...

  • OpenSSL开放式安全套接层协议

    OpenSSL被曝出现严重安全漏洞后，发现多数通过SSL协议加密的网站使用名为OpenSSL的开源软件包。OpenSSL漏洞不仅影响以https开头的网站，黑客还可利用此漏洞直接对个人电脑发起“心脏出血”（Heartbleed）攻击。据...

  • Openssl“心脏出血”漏洞分析及其利用

    4月7日，互联网安全协议OpenSSL被曝存在一个十分严重的安全漏洞。在黑客社区，它被命名为“心脏出血”，表明网络上出现了“致命内伤”。利用该漏洞，黑客可以获取约30%的https开头网址的用户登录账号密码，其中包括...

  • OpenSSL漏洞简述与网络检测方法

    2014年4月7日OpenSSL发布了安全公告，在OpenSSL1.0.1版本中存在严重漏洞(CVE-2014-0160)。OpenSSL Heartbleed模块存在一个BUG，问题存在于ssl/dl_both.c文件中的心跳部分，当攻击者构造一个特殊的数据包，满足用户...

  • FFmpeg入门详解之104：Win10快速安装OpenSSL（不用编译源码）

    OpenSSL是web安全通信的基石，没有OpenSSL，可以说我们的信息都是在裸奔。要想了解OpenSSL，有几个前置的概念需要先熟悉一下：SSLSSL的全名叫做secure socket layer(安全套接字层)，最开始是由一家叫网景的互联网...

  • OpenSSL漏洞补救办法详解（转）

    2014年4月7日OpenSSL发布了安全公告，在OpenSSL1.0.1版本中存在严重漏洞(CVE-2014-0160)。OpenSSL Heartbleed模块存在一个BUG，问题存在于ssl/dl_both.c文件中的心跳部分，当攻击者构造一个特殊的数据包，满足用户...

  • “心血”漏洞能补上 互联网安全“地震”被夸大？

    摘要：4月9日下午，广东井田云科技有限公司首席架构设计师何渐兴打开井田商业管理系统后台，将OpenSSL文件里的一个源码页面加上了一段大学计算机课上常用的一个if语句，就把日前在网上疯传的OpenSSL漏洞，轻松给补上...

  • OpenSSL库概述

    一、背景技术SSL是Secure Sockets Layer（安全套接层协议）的缩写，可以在Internet上提供秘密性传输。Netscape公司在推出第一个Web浏览器的同时，提出了SSL协议标准。其目标是保证两个应用间通信的保密性和可靠性,可...

  • 遭山寨？遭破解？遭劫持？APP漏洞的危害解析及防范

    安卓系统本身就存在漏洞，比如openSSL漏洞、Pileup漏洞、耗电等层出不穷的漏洞，再加上安卓系统的开源性，在带给开发者灵活性的同时，也给某些黑客带来可乘之机。   漏洞的环境   在近期发布了《2015年第一...

  • OPENSSL introduce itself from baidu

    在OpenSSL被曝出现严重安全漏洞后，发现多数通过SSL协议加密的网站使用名为OpenSSL的开源软件包。由于这是互联网应用最广泛的安全传输方法，被网银、在线支付、电商网站、门户网站、电子邮件等重要网站广泛使用，...

  • Day58权限提升-网站权限后台漏洞第三方获取

    一般我们的渗透流程就是信息收集，发现漏洞，漏洞利用，一些漏洞成功之后获得一些相应的权限，还有一些是漏洞利用成功之后并没有取得的权限，而这个权限是要通过漏洞利用之后在利用其它地方取货的权限。权限的获取...

  • web安全防范

    $csrf_token = md5(openssl_random_pseudo_bytes(32));//生成随机token $_SESSION['token']= $csrf_token; ?> <!DOCTYPE html> <title>csrf 转账 money: to_who: $csrf_token ?>"> 在 paybill...

  • [转]信息安全相关理论题(四)

    26、____表示邮件服务器返回代码为临时性失败(xx代表任意数)。 A、 2xx B、 3xx C、 4xx D、 5xx 您的答案： 标准答案： C ...28、网上陌生人给你发送补丁文件正确的操作是不下载文件。 A、 错误 B、 正确 您的答...

  • 在互联网上，没有人知道你是一条狗？

    如何分析和攻击私有协议中的密码学安全漏洞 天擎V6 大数据时代的数据安全挑战与管理 大数据安全基础课件 大力出奇迹のWiFi Hacking 基于树莓派的渗透测试 基于大数据的僵尸网络攻击监控-伤心的鱼 基于Android的主动...

  • 网上银行“安全登录控件”分析

    国内的一些银行的网上银行系统为了用户信息的安全，在登录页面上使用了名为“安全登录控件”的东西，取代了传统的 HTML 的输入控件（Input），下面就对用户量较大的招商银行和工商银行的登录界面及“安全登录控件”...

  • setting.xml文件，修改Maven仓库指向至阿里仓

    setting.xml文件，修改Maven仓库指向至阿里仓

  • 基于java的玉安农副产品销售系统的开题报告.docx

    基于java的玉安农副产品销售系统的开题报告

Global site tag (gtag.js) - Google Analytics