【事件分析】OpenSSL“心脏出血”漏洞

阅读： 6

早在2014年，互联网安全协议OpenSSL被曝存在一个十分严重的安全漏洞。在黑客社区，它被命名为“心脏出血”，表明网络上出现了“致命内伤”。利用该漏洞，黑客可以获取约30%的https开头网址的用户登录账号密码，其中包括购物、网银、社交、门户等类型的知名网站。今天就为大家带来平台事件规则解读系列第四篇——震惊全球的“心脏出血”漏洞。

在OpenSSL1.0.1版本中存在严重漏洞（CVE-2014-0160），此次漏洞问题存在于ssl/dl_both.c文件中。OpenSSL Heartbleed模块存在一个BUG，当攻击者构造一个特殊的数据包，满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出，该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长大64K的数据。

震惊全球的“心脏出血”漏洞

【事件规则】

OpenSSL“心脏出血”漏洞是一个非常严重的问题。这个漏洞使攻击者能够从内存中读取多达64 KB的数据。也就是说，只要有这个漏洞的存在，在无需任何特权信息或身份验证的环境下，我们就可以从我们自己的（测试机上）偷来X.509证书的私钥、用户名与密码、聊天 工具 的消息、电子邮件以及重要的商业文档和通信等数据。

OpenSSL漏洞分析

最初人们为了网络通信安全，就开始使用安全协议进行加密通信，SSL（Secure Socket Layer）就是一种安全协议。随着开源软件的流行，有人写了一款叫  OpenSSL  的开源程序供大家方便地对通信进行SSL加密，后来这款软件便在互联网中被广泛应用。我们在浏览器地址栏常见的 https 前缀的网址以及那把小锁图标，通常就是指该网站经过 SSL 证书加密。

OpenSSL 有一个叫 Heartbeat （心跳检测）的拓展，问题就出在这个拓展上，这也是漏洞被命名为“心脏出血”的直接原因。

所谓心跳检测，就是建立一个  Client Hello 问询来检测对方服务器是不是正常在线 ，服务器发回 Server hello，表明正常树立SSL通讯。就像我们打电话时会问对方 “喂听得到吗？”一样。

每次问询都会附加一个问询的字符长度 pad length，bug 来了，如果这个 pad length 大于实际的长度，服务器仍是会回来相同规模的字符信息，于是形成了内存里信息的越界访问。

就这样，每发起一个心跳，服务器就能泄露一点点数据（理论上最多泄露  64K），这些数据里可能包括用户的登录账号密码、电子邮件甚至是加密秘钥等信息，也可能并没有包含这些信息，但攻击者可以不断利用 “心跳”来获取更多的信息。就这样，服务器一点一点泄露越来越多的信息，就像是心脏慢慢在出血，心脏出血漏洞的名字由此而来。

这里通过一张图来展现一下：

由于互联网应用最广泛的安全传输方法就是 SSL，而 Open SSL 又是多数 SSL 加密网站使用的开源软件包，所以漏洞影响范围广大，一时间席卷全球各个互联网相关领域，网银、在线支付、电商网站、门户网站、电子邮件等无一幸免。

通过以上分析我们可以看见，OpenSSL心脏出血漏洞(heartbleed)的产生主要由于OpenSSL的心跳处理逻辑没有检测心跳包中的长度字段是否和后续字段相吻合导致攻击者构造异常数据包，来直接获取心跳数据所在的内存区域的后续数据。主要特征有：

• heartbleed漏洞主要存在于有心跳机制的OpenSSL协议中。
• IANA组织把开启心跳扩展机制的SSL数据包type类型定义为24（0x18）。
• heartbleed漏洞主要存在于TLS和DTLS两种协议中，在含有heartbleed漏洞的OpenSSL协议中需要开启心跳扩展机制（beartbeat），而含有心跳扩展机制的TLS版本主要包含在0（0x0301），TLSv1.1（0x0302），TLSv1.2（0x0303）三种版本中。
• heartbleed漏洞攻击主要由于攻击者构造异常的心跳数据包，即心跳包中的长度字段与后续的数据字段不相符合，来获取心跳数据所在的内存区域的后续数据。

其一般的攻击流程如下图所示：

绿盟“OpenSSL心脏出血漏洞”规则解决方案

目前国内的OpenSSL漏洞所带来的安全威胁依旧还未消散，国内很多网站的系统中依旧还留存着这个漏洞。为了防止HeartBeat漏洞利用成功， NSFOCUS ESP、TSA以及TAM（全流量）中已经添加了该事件的发现规则。

规则设置及事件类型描述

一般而言绿盟对这种“心脏出血漏洞”的网络攻击有着相关的规则流程分析，其将该网络攻击从利用和利用成功两个层面提供不同的解决方案。

总结

在OpenSSL漏洞被披露的时候，Heartbleed这个漏洞的存在时间已有两年之久。三分之二的活跃网站均在使用这种存在缺陷的加密协议。因此，许多人的数据信息开始被暴露，每个人都被卷入到这次灾难的修正中去。放眼放去，我们经常访问的支付宝、淘宝、微信公众号、YY语音、陌陌、雅虎邮件、网银、门户等各种网站，基本上都出了问题。而在国外，受到波及的网站也数不胜数，就连大名鼎鼎的NASA(美国航空航天局)也已宣布，用户数据库遭泄露。不过塞翁失马，焉知非福。此次风波将会让整个互联网重新思考网络安全。而绿盟企业安全平台（NSFOCUS ESP）、绿盟安全态势感知（NSFOCUS TSA）、绿盟全流量分析平台（TAM）可以通过事件规则有效发现失陷主机，另外也可以通过绿盟企业安全平台（NSFOCUS ESP）持续发现和管理安全漏洞，先一步阻止漏洞的再次利用。

更多安全平台事件规则解读，且听下回分解。