利用 Heartbleed 漏洞劫持用户登录会话

2016年10月21日 10 阅读

Heartbleed 问题实际上比它现在能被看出来的更糟糕（其实现在看起来已经很坏了）。Heartbleed （CVE-2014-0160） 是一个 OpenSSL 的漏洞，允许任何远程用户将服务器的一些内存进行转储。是的，这真的很糟糕。最值得关注的是，一个熟练的用户可以利用它通过一个流程将服务器用来与客户沟通的RSA私钥转储下来。发起这种攻击所要求的知识/技能水平并不是特别高，但可能超过脚本初级用户的平均水平。那么为什么说 Heartbleed 比你想的...

OpenSSL爆出本年度最严重的安全漏洞Heartbleed

2016年10月21日 11 阅读

OpenSSL爆出本年度最严重的安全漏洞Heartbleed，微信第三方开发平台应第一时间升级OpenSSL。OpenSSL爆出本年度最严重的安全漏洞，此漏洞在黑客社区中被命名为“心脏出血”漏洞heartbleed。“心脏出血”漏洞将影响至少两亿中国网民，初步评估一批https登录方式的主流网站，有不少于30%的网站中招，其中包括大家最常用的购物、网银、社交、门户、微博、微信、邮箱等知名网站和服务。利用该漏洞...

GNU a2ps任意命令执行漏洞（CVE-2014-0466）

2016年10月21日 11 阅读

发布日期：2014-03-28更新日期：2014-04-10受影响系统：GNU a2ps 4.14描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66660CVE（CAN） ID: CVE-2014-0466GNU a2ps是将文件转换为PostScript的过滤器。a2ps 4.14内的fixps脚本在执行gs时，...

Microsoft Word文件转换远程代码执行漏洞（CVE-2014-1757）（MS14-017）

2016年10月21日 11 阅读

发布日期：2014-04-08更新日期：2014-04-10受影响系统：Microsoft Word不受影响系统：Microsoft Word 2013Microsoft Word 2010Microsoft Word 2007Microsoft Word 2003描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66...

Adobe Flash Player及AIR缓冲区溢出漏洞（CVE-2014-0507）

2016年10月21日 11 阅读

发布日期：2014-04-08更新日期：2014-04-10受影响系统：Adobe Flash Player 11.x描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66701CVE（CAN） ID: CVE-2014-0507Adobe Flash Player是一个集成的多媒体播放器。Adobe AIR是针对网络...

WellinTech KingSCADA栈缓冲区溢出漏洞（CVE-2014-0787）

2016年10月21日 11 阅读

发布日期：2014-04-08更新日期：2014-04-10受影响系统：Wellintech KingSCADA描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66709CVE（CAN） ID: CVE-2014-0787KingSCADA系列产品是基于Windows的监控和数据采集应用程序。KingSCADA 3....

Google Chrome 34.0.1847.116之前版本多个安全漏洞

2016年10月21日 11 阅读

发布日期：2014-04-08更新日期：2014-04-10受影响系统：Google Chrome < 34.0.1847.116描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66704CVE（CAN） ID: CVE-2014-1716,CVE-2014-1717,CVE-2014-1718,CVE-201...

开源是Heartbleed漏洞的罪魁祸首？

2016年10月21日 11 阅读

关于Heartbleed漏洞的消息在网络上引发了激烈的讨论。这个从OpenSSL项目中爆出的漏洞让攻击者可以在多种加密传输的网络数据中窃取用户信息，由于OpenSSL被广泛使用在Web服务器、邮件协议、通讯协议中，所以一时间受影响的用户数量难以估计。Heartbleed漏洞事件再次显示出了网络安全的脆弱性，当然对于那些重视安全的厂商来说这也给了它们升级基础服务、增加安全强度的机会。看上去这也许是这次严重的安全威胁带来的为数不多的“好处&rdqu...

Cisco Adaptive Security Appliance SSL VPN远程权限提升漏洞

2016年10月21日 11 阅读

发布日期：2014-04-09更新日期：2014-04-11受影响系统：Cisco Adaptive Security Appliance 9.xCisco Adaptive Security Appliance 8.x描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66748CVE（CAN） ID: CVE-201...

Open-Xchange AppSuite信息泄露漏洞（CVE-2014-2392）

2016年10月21日 11 阅读

发布日期：2014-04-08更新日期：2014-04-11受影响系统：open-xchange OX App Suite < 7.4.2描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66698CVE（CAN） ID: CVE-2014-2392Open-Xchange Server是部分开源的项目，主要开发...

FreeBSD远程拒绝服务漏洞（CVE-2014-1453）

2016年10月21日 11 阅读

发布日期：2014-04-09更新日期：2014-04-11受影响系统：FreeBSD FreeBSD描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66726CVE（CAN） ID: CVE-2014-1453FreeBSD是一种UNIX操作系统，是由经过BSD、386BSD和4.4BSD发展而来的Unix的一个重...

Open-Xchange AppSuite信息泄露漏洞（CVE-2014-2391）

2016年10月21日 11 阅读

发布日期：2014-04-08更新日期：2014-04-11受影响系统：open-xchange OX App Suite < 7.4.2描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66694CVE（CAN） ID: CVE-2014-2391Open-Xchange Server是部分开源的项目，主要开发...

Wireshark Libpcap CAP文件内存破坏漏洞

2016年10月21日 11 阅读

发布日期：2014-04-09更新日期：2014-04-11受影响系统：Wireshark Wireshark描述：--------------------------------------------------------------------------------BUGTRAQ ID: 66755Wireshark是最流行的网络协议解析器。Wireshark 1.10.0-1.10.3版本在处理CAP文件的实现上存在内存破坏漏洞，成功利用后可使...

OpenSSL Heartbleed漏洞修复

2016年10月21日 11 阅读

这次的OpenSSL Heartbleed漏洞十分严重 建议大家的工作机都升级，具体信息看：http://heartbleed.com/受影响的版本及修复方法看下面了。本次收影响的版本：1.0.11.0.1a1.0.1b1.0.1c1.0.1d1.0.1e1.0.1f如何查看自己的OpenSSL版本rpm -q openssl或dpkg-query -W openssl各个发行版已经patched版本1.0.1e-2+deb7u5 is reported ...

关于 HeartBleed 安全漏洞的 2 张漫画

2016年10月21日 11 阅读

openSSL 的「滴血之心」漏洞造成的恐慌几乎席卷全球，国内外白帽子黑帽子疯狂刷数据刷积分，各大网站的安全部门也是遇到了从未有过的危机。虽然大家都讨论的很热烈，但对于用户们来说，只关心一件事情：我们支付宝里的钱还安全么。最近大家关注的“OpenSSL漏洞”是怎么回事？这个漏洞在英文中称为Heartbleed（可暂译为“心泣”），可能导致各种各样的信息泄露，但其实它的原理出奇地简单。不信，请看著名网络漫画xk...

内幕：NSA 已经利用 Heartbleed 漏洞多年

2016年10月21日 12 阅读

据彭博社（Bloomberg）消息，两名不愿透露姓名的内部人士爆料，美国国家安全局NSA早已在两年前就得知Heartbleed漏洞的存在，且一直隐蔽地利用漏洞来窃取密码和收集数据。报道显示，当漏洞2012年首次现身时，NSA就发现该漏洞并一直保留访问权限。漏洞在未被爆出并修复之前（上周），包括Gmail和亚马逊在内的众多服务器都可以被其攻击。这使得NSA几乎可以访问网络上三分之二的加密服务器。报道同时指出Heartbleed漏洞仅仅是冰山一角，安全局还有上...

Juniper JunOS SRX服务网关动态VPN连接拒绝服务漏洞

2016年10月21日 11 阅读

发布日期：2014-04-10更新日期：2014-04-12受影响系统：Juniper Networks JunOS SRX Branch Series Service Gateways 12.xJuniper Networks JunOS SRX Branch Series Service Gateways 11.x描述：-------------------------------------------------------------------...

WordPress多个漏洞

2016年10月21日 12 阅读

发布日期：2014-04-10更新日期：2014-04-12受影响系统：WordPress WordPress < 3.8.2描述：--------------------------------------------------------------------------------WordPress是一种使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设自己的网站。WordPress 3.8.2之前版本在实现...

幕后大起底：OpenSSL“Heartbleed”漏洞消息发布前的惊魂72小时

2016年10月21日 11 阅读

从芬兰到硅谷，有一支小规模的漏洞猎手团队发现了互联网历史上最为严重的网络安全漏洞，并为之积极准备着。最近Heartbleed这个词可谓是家喻户晓，这个安全漏洞引起了几乎每个网民的担心。但其实 David Chartier 早在一周前，当所有人还蒙在鼓里的时候，就已经知道它的存在了。周五一大早，Codenomicon 安全公司的 CEO Chartier 接到了一个从芬兰打来的电话，那时他才刚刚到达在硅谷的办公室。在那个平常的不能再平常的阴霾天，Charti...

TIBCO Spotfire多个产品远程代码执行漏洞

2016年10月21日 11 阅读

发布日期：2014-04-10更新日期：2014-04-13受影响系统：TIBCO Spotfire描述：--------------------------------------------------------------------------------CVE（CAN） ID: CVE-2014-2544TIBCO Spotfire是业务数据智能分析软件。TIBCO Spotfire Server 3.3.3及更早版本、4.5.0、5.0.0、...