搜索

[7941] 2014-04-09_基于流量的OpenSSL漏洞利用检测方法

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2014-04-09_基于流量的OpenSSL漏洞利用检测方法 基 于 流 量 的 O p e n S S L 漏 洞 利 用 检 测 方 法 安 天 实 验 室   F r e e B u f   2 0 1 4 - 0 4 - 0 9 C V E - 2 0 1 4 - 0 1 6 0 漏 洞 背 景 漏 洞 背 景 2 0 1 4 年 4 月 7 日 O p e n S S L 发 布 了 安 全 公 告 ， 在 O p e n S S L 1 . 0 . 1 版 本 中 存 在 严 重 漏 洞 （ C V E - 2 0 1 4 - 0 1 6 0 ） ， 此 次 漏 洞 问 题 存 在 于 s s l / d l _ b o t h . c 文 件 中 。 O p e n S S L   H e a r t b l e e d 模 块 存 在 一 个 B U G ， 当 攻 击 者 构 造 一 个 特 殊 的 数 据 包 ， 满 足 用 户 心 跳 包 中 无 法 提 供 足 够 多 的 数 据 会 导 致 m e m c p y 把 S S L v 3 记 录 之 后 的 数 据 直 接 输 出 ， 该 漏 洞 导 致 攻 击 者 可 以 远 程 读 取 存 在 漏 洞 版 本 的 o p e n s s l 服 务 器 内 存 中 长 大 6 4 K 的 数 据 。 O p e n S S L 受 影 响 和 不 受 影 响 版 本 O p e n S S L   1 . 0 . 1 f （ 受 影 响 ） O p e n S S L   1 . 0 . 1 g   （ 不 受 影 响 ） O p e n S S L   1 . 0 . 0   b r a n c h   （ 不 受 影 响 ） O p e n S S L   0 . 9 . 8   b r a n c h   （ 不 受 影 响 ） 对 此 我 们 给 出 如 下 建 议 O p e n S S L 版 本 升 级 到 最 新 的 1 . 0 . 1 g 重 新 生 成 你 的 私 钥 请 求 和 替 换 S S L 的 证 书 使 用 - D O P E N S S L _ N O _ H E A R T B E A T S 参 数 重 新 编 译 低 版 本 的 O p e n S S L 以 禁 用 H e a r t b l e e d 模 块 最 新 版 本 升 级 地 址 为 ： h t t p s : / / w w w . o p e n s s l . o r g / s o u r c e / .   （ O p e n S S L 官 方 ） 分 析 与 验 证 分 析 与 验 证 目 前 该 漏 洞 的 利 用 和 验 证 脚 本 已 经 可 以 被 广 泛 获 取 ， 地 址 包 括 。 h t t p : / / f i * * * * o . i o / H e a r t b l e e d /     ( w e b 测 试 页 面 ) h t t p : / / s 3 .   * * * * g u i n . o r g / s s l t e s t . p y     ( p y t h o n 脚 本 ) h t t p : / /   * * . *   u   u . c o m / s / 1 n t 3 B n V B   ( p y t h o n 脚 本 ) 尽 管 从 安 全 团 队 的 角 度 ， 我 们 不 适 宜 明 文 传 播 这 些 地 址 ， 但 我 们 必 须 提 醒 用 户 的 是 ， 几 乎 所 有 的 攻 击 者 都 已 经 拥 有 了 相 关 资 源 ， 在 过 去 2 4 小 时 内 ， 这 一 漏 洞 已 经 遭 到 了 极 为 广 泛 的 探 测 和 尝 试 。 相 信 大 多 数 有 漏 洞 的 站 点 均 遭 到 了 不 止 一 次 的 攻 击 。 鉴 于 该 漏 洞 的 严 重 程 度 和 攻 击 爆 发 事 件 ， 我 们 不 得 不 打 破 搭 建 环 境 ， 测 试 验 证 的 管 理 ， 在 第 一 时 间 ， 选 择 相 对 “ 轻 量 级 ” 的 网 站 做 出 直 接 验 证 ， 以 分 析 其 实 际 后 果 敏 感 信 息 。 通 过 网 络 中 已 有 的 测 试 方 法 ， 我 们 寻 找 到 几 个 存 在 问 题 的 网 站 进 行 分 析 ， 为 了 避 免 行 为 失 当 ， 我 们 没 有 选 择 与 金 融 、 交 易 相 关 的 站 点 。 存 在 问 题 的 网 站 地 址 ： A p * * * . * * * * * . g o v . c n     （ 测 试 时 间 为 2 0 1 4 - 0 4 - 0 9   0 1 : 0 0 ） m y - * * * * . i n     （ 测 试 时 间 为 2 0 1 4 - 0 4 - 0 9   0 1 : 1 0 ） w w w . s h u * * * * . c n       （ 测 试 时 间 为 2 0 1 4 - 0 4 - 0 9   0 1 : 1 5 ） g i t * * * * . c o m （ 测 试 时 间 为 2 0 1 4 - 0 4 - 0 9   0 1 : 2 0 ） f e n g * * * * * . c o m     （ 测 试 时 间 为 2 0 1 4 - 0 4 - 0 9   0 1 : 3 0 ）
获 取 回 来 的 敏 感 信 息 截 图 如 下 ： 图   1   测 试 网 站 1 通 过 漏 洞 利 用 工 具 发 送 数 据 后 ， 返 回 的 数 据 中 可 以 看 到 有 内 网 I P 地 址 、 路 径 等 信 息 。 获 取 敏 感 信 息 有 内 网 I P 地 址 、 路 径 等 。 图   2   测 试 网 站 2 通 过 漏 洞 利 用 工 具 发 送 数 据 后 ， 返 回 的 数 据 中 可 以 看 到 有 A P P 信 息 、 c o o k i e 信 息 和 用 户 名 信 息 等 。   获 取 敏 感 信 息 有 A P P 信 息 、 c o o k i e 信 息 和 用 户 名 信 息 等
图   3   测 试 网 站 3 通 过 漏 洞 利 用 工 具 发 送 数 据 后 ， 返 回 的 数 据 中 可 以 看 到 有 手 机 号 码 等 。 获 取 敏 感 信 息 是 手 机 号 码 等 。 图   4   测 试 网 站 4 通 过 漏 洞 利 用 工 具 发 送 数 据 后 ， 返 回 的 数 据 中 可 以 看 到 有 信 箱 和 密 码 信 箱 和 密 码 等 信 息 。 通 过 上 面 的 几 个 网 站 的 分 析 测 试 ， 发 现 该 漏 洞 确 实 可 以 获 取 到 带 有 敏 感 信 息 的 内 存 内 容 。 例 如 ： 用 户 的 c o o k i e 信 息 、 内 网 I P 地 址 、 用 户 名 、 密 码 、 手 机 号 、 信 箱 等 。 如 攻 击 者 利 用 此 漏 洞 对 网 络 交 易 、 证 券 、 银 行 等 网 络 进 行 攻 击 ， 那 么 将 会 获 取 到 用 户 名 、 密 码 、 银 行 账 号 等 敏 感 信 息 。 再 次 提 醒 网 站 管 理 员 和 使 用 S S L 协 议 连 接 网 站 的 用 户 请 尽 快 按 照 我 们 的 处 置 建 议 进 行 操 作 。 网 络 检 测 相 关 方 法 网 络 检 测 相 关 方 法 通 用 S n o r t 规 则 检 测 由 于 众 所 周 知 的 S S L 协 议 是 加 密 的 ， 我 们 目 前 没 有 找 到 提 取 可 匹 配 规 则 的 方 法 ， 我 们 尝 试 编 写 了 一 条 基 于 返 回 数 据 大 小 的 检 测 规 则 ， 其 有 效 性 我 们 会 继 续 验 证 ， 如 果 有 问 题 欢 迎 反 馈 。
a l e r t   t c p   $ E X T E R N A L _ N E T   a n y   - >   $ H O M E _ N E T   4 4 3   ( m s g : " o p e n s s l   H e a r t b l e e d   a t t a c k " ; f l o w : t o _ s e r v e r , e s t a b l i s h e d ;   c o n t e n t : " | 1 8   0 3 | " ;   d e p t h :   3 ;   b y t e _ t e s t : 2 ,   > ,   2 0 0 ,   3 ,   b i g ;   b y t e _ t e s t : 2 ,   < ,   1 6 3 8 5 ,   3 ,   b i g ;   t h r e s h o l d : t y p e   l i m i t ,   t r a c k   b y _ s r c ,   c o u n t   1 ,   s e c o n d s   6 0 0 ;   r e f e r e n c e : c v e , 2 0 1 4 - 0 1 6 0 ;   c l a s s t y p e : b a d - u n k n o w n ;   s i d : 2 0 1 4 0 1 6 0 ;   r e v : 2 ; ) S n o r t 规 则 说 明 ： 此 次 漏 洞 主 要 针 对 的 S S L 协 议 。 是 针 对 心 跳 数 据 包 前 4 个 字 节 中 包 含 x 1 8 x 0 3 ， 而 在 数 据 包 第 5 个 字 节 和 第 6 个 字 节 的 数 值 按 大 尾 模 式 转 化 成 数 值 在 2 0 0 和 1 6 3 8 5 之 间 ， 在 后 面 则 是 一 些 报 警 和 过 滤 功 能 ， 日 志 记 录 里 ， 每 1 0 分 钟 记 录 一 次 。 行 为 检 测 行 为 检 测 从 公 共 网 络 管 理 者 的 角 度 ， 可 以 从 同 一 I P 短 时 间 探 测 多 个 4 4 3 端 口 的 网 络 连 接 角 度 进 行 检 测 。 这 样 可 以 发 现 攻 击 者 或 肉 鸡 的 大 面 积 扫 描 行 为 。 另 外 由 于 攻 击 者 可 能 定 期 性 的 进 行 数 据 持 续 获 取 ， 也 可 以 从 连 接 持 续 规 律 的 时 间 性 和 首 发 数 据 数 量 的 对 比 的 角 度 进 行 检 测 。 其 他 其 他 是 否 相 关 攻 击 的 主 机 痕 迹 和 取 证 方 式 ， 我 们 正 在 验 证 。   参 考 资 料 列 表 ： 参 考 资 料 列 表 ： h t t p : / / h e a r t b l e e d . c o m / h t t p : / / w w w . f r e e b u f . c o m / v u l s / 3 1 3 3 9 . h t m l h t t p : / / d r o p s . w o o y u n . o r g / p a p e r s / 1 3 8 1 h t t p : / / b l o g . f o x - i t . c o m / 2 0 1 4 / 0 4 / 0 8 / o p e n s s l - h e a r t b l e e d - b u g - l i v e - b l o g / h t t p s : / / w w w . n c c g r o u p . c o m / e n / b l o g / 2 0 1 4 / 0 4 / h e a r t b l e e d - o p e n s s l - v u l n e r a b i l i t y / 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理