OpenSSL 有漏洞 – Heartbleed

詳細參考

1. http://heartbleed.com/
2. http://drops.wooyun.org/papers/1381
3. http://blog.hsdn.net/1627.html
4. https://www.openssl.org/news/secadv_20140407.txt

影響範圍

1. CentOS 6.5, OpenSSL 1.0.1e-15
2. Only 1.0.1 and 1.0.2-beta releases of OpenSSL are affected including 1.0.1f and 1.0.2-beta1.

檢測方式

1. 線上掃
2. 或到 GitHub  找相關有人寫好的程式

我是拿 GitHub 這個來用，它裡面有個 ssltest.py ，用這支就好 (shell 沒效用)，且自已加入

s.settimeout(2)

另外 titanous/heartbleeder 與 FiloSottile/Heartbleed

是用 GO 語言寫的，順便學習到 GO 怎麼安裝操作

下載  go1.2.1.linux-amd64.tar.gz  這個版本 (我的環境是 CentOS 的)

解開把它放到 /usr/local/go

再作環境設定

export GOROOT=/usr/local/go
export GOPATH=$HOME/go
export PATH=$PATH:$GOROOT/bin:$GOPATH/bin

然後 FiloSottile 這個版本就可以這麼的安裝檢測工具

go get github.com/FiloSottile/Heartbleed
go install github.com/FiloSottile/Heartbleed

就直接執行

Heartbleed ssorc.tw

指令檢查 (openssl 要新版的)

echo -e "quit\n" | openssl s_client -connect ssorc.tw:443 -tlsextdebug 2>&1| grep 'TLS server extension "heartbeat" (id=15), len=1'