记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华戴尔、惠普和联想的设备使用过时的 OpenSSL 版本
Binarly 研究人员发现，戴尔、惠普和联想的设备仍在使用过时版本的 OpenSSL 加密库。
OpenSSL软件库允许通过计算机网络进行安全通信，能够有效防止窃听。OpenSSL包含开源的安全套接字协议（SSL）和传输层安全（TLS）协议，研究人员通过分析上述制造商使用的设备的固件图像时发现了问题所在。
专家们分析了作为任何UEFI固件所必要的核心框架之一EDKII，该框架在CryptoPkg组件中的OpenSSL库（OpensslLib）上有自己的子模块和包装器。EDK II 是一个现代化、功能丰富的跨平台固件开发环境，适用于 UEFI 和 UEFI 平台初始化 (PI) 规范。
OpenSSL 修复了两个高危漏洞
Bleeping Computer 网站披露，OpenSSL 修补了其用于加密通信通道和 HTTPS 连接的开源密码库中两个高危漏洞。漏洞分别追踪为 CVE-2022-3602 和 CVE-2022-3786，主要影响 OpenSSL 3.0.0 及更高版本，现已在 OpenSSL 3.0.7 中得到解决。
据悉，CVE-2022-3602 是一个任意 4 字节堆栈缓冲区溢出漏洞，可能导致拒绝服务或远程代码执行。CVE-2022-3786 可以被攻击者通过恶意电子邮件地址利用，通过缓冲区溢出触发拒绝服务状态。
OpenSSL 将修复第二个关键漏洞
Hackernews 编译，转载请注明出处：
OpenSSL项目宣布将发布更新，以解决开源工具包中的一个关键漏洞。专家指出，这是自2016年9月以来在工具包中修补的首个关键漏洞。
“OpenSSL项目团队宣布即将发布的OpenSSL 3.0.7版本。该版本将于2022年11月1日星期二UTC 1300-1700之间发布。”公告中写道。“OpenSSL 3.0.7是一个安全修复版本，该版本中修复的最高级别问题是‘严重’。”
该严重漏洞仅影响3.0及更高版本。这是OpenSSL项目继2014年严重Heartbleed漏洞（CVE-2014-0160）之后解决的第二个关键漏洞。
OpenSSL多个安全漏洞通告
阅读：21一、漏洞概述近日，绿盟科技CERT监测发现OpenSSL发布安全通告，修复了OpenSSL 产品中的多个安全漏洞。OpenSSL 是一个开放源代码的软件库包。应用程序可以使用这个包来进行安全通信、避免窃听，同时确认另一端连接者的身份，广泛被应用在互联网的网页服务器上。请相关用户采取措施进行防护。OpenSSL远程代码执行漏洞（CVE-2022-1292）：由于c_rehash 脚本未能正确清理shell元字符的问题，且某些操作系统会以自动执行的方式分发此脚本。未经身份验证的攻击者可使用脚本构造恶意数据包触发该漏洞，从而实现在目标系统上执行任意系统命令。
【安全通告】OpenSSL拒绝服务漏洞（CVE-2020-1971）
文章目录综述受影响版本不受影响版本解决方案阅读： 1综述当地时间12月8日，OpenSSL发布安全通告公布了一个空指针解引用漏洞（CVE-2020-1971），官方评级高危。漏洞存在于OpenSSL的函数GENERAL_NAME_cmp中，GENERAL_NAME_cmp函数可用来比较GENERAL_NAME的不同实例，以查看它们是否相等。当被比较的两个GENERAL_NAME都包含EDIPartyName时，将触发空指针解引用，造成程序崩溃最终导致拒绝服务。因此，如果攻击者可以控制被比较的两个参数则就有可能触发崩溃。例如，欺骗客户端或服务器，使其根据恶意CRL检查恶意证书。
江南天安开源基于国产密码算法的OpenSSL密码库
OpenSSL是一个安全套接字层密码库，是一个基于密码学的安全开发包。OpenSSL提供的功能相当强大和全面，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，并提供了丰富的应用程序供测试或其它目的使用。OpenSSL在国内应用极其广泛，但是一直以来，就只提供国际通用密码算法，国产密码算法一直没有真正的嵌入。
从心脏出血到量子安全，OpenSSL到底是怎样的存在？
“心脏出血”引起的轩然大波很多人仍对2014年4月7日爆发的心脏出血(Heartbleed)漏洞记忆犹新。一夜之间，全球三分之二的服务器岌岌可危，一个声名不显的团队——OpenSSL让无数的管理员夜不能寐。在SSL（安全套接层协议）领域，OpenSSL是当之无愧的无冕之王，该团队的“大管家”Steve Marquess在最近的中国行中提出了一个比喻，可以很好地解释他们的工作：你可以把网络想像成电路，信息就是电流，OpenSSL则像是电线绝缘层，确保电流能安全传输而非四处泄露。但是，问题在于，用户接触的只是最外层的“电源接口”，因此“OpenSSL对于终端的用户是隐形的、看不到的。
小错误引发大危机——心脏出血到底是什么？
心脏出血漏洞可以追根溯源到开源代码库OpenSSL里的一行代码上。本文将告诉你心脏出血的工作原理、利用状况以及怎样修复未打补丁的服务器。2014年4月，心脏出血漏洞进入了公众视野，该漏洞为攻击者提供了前所未有的敏感信息获取途径，并且成千上万的网络服务器上存在心脏出血漏洞，就连雅虎这样的网络巨头也在此列。开源代码库OpenSSL中的一个漏洞是引发心脏出血的罪魁祸首，该漏洞使用了传输层安全协议(TLS)和加密套接字协议层(SSL)协议。通过这个漏洞，简而言之，恶意用户可以很容易地诱骗一个脆弱的网络服务器发送用户名和密码等敏感信息。
加密软件公司Mocana融资近亿美元 涉入工控安全和物联网安全领域
当前网络安全中的两个常量，是来自不安全IoT僵尸网络(Mirai、WireX等)日益增长的威胁，以及强加密提供的持续性安全。这家风投资本投注公司的使命之一，就是用后者解决前者。Mocana成立于2002年，是一家军事应用嵌入式安全软件公司。在风投资本的帮助下（2017年5月的一笔1100万美元投资，将其融资总额拉升到了9360万美元），该公司业务扩展到了ICS和工业物联网(IIoT)及消费IoT领域。Mocana首席技术官迪安·韦伯称：“我们是一家加密公司。传统安全一直提供的是网络控制层和边界防护，甚至对IoT设备也是如此，但我们不一样。我们用加密，为IoT、移动和工业设备打造信任平台。
“未来密码”——OpenSSL中国行报名全面开启
首先，“名词解释”环节必不可少~OpenSSLOpenSSL是互联网加密传输的核心基础组件，当前互联网安全传输的大部分场景（如HTTPS）均使用OpenSSL开源项目。作为一个全球性的开源项目，由OpenSSL团队主要负责开发、维护。未来密码本次OpenSSL团队来华交流，除介绍OpenSSL项目中已实现的加密形式、算法外，还将与中国的开发者群体共同探讨“量子加密”“后量子时代的密码学”等行业前沿议题，探索“未来密码”，解锁未来互联网的无限可能。
全站升级HTTPS，以及SSL安全扫描
从目前来看，HTTPS已经是大势所趋，并且google将对HTTPS的站点给予较高的权重，想到namecheap还有一个免费的SSL证书，于是HTTPS走起来。
购买SSL证书有很多
令黑客一筹莫展的编程方法
2014年4月7日，世界首次知道心脏滴血漏洞。OpenSSL中TLS/DTLS(传输层安全协议)心跳扩展实现上的一个小漏洞，却能使攻击者解开受脆弱OpenSSL软件保护系统中的加密措施。在当时，这些加密措施占据了公网大约2/3的江山。攻击者可以窃听那些看起来加密了的通信，盗取隐私数据，冒充服务和用户。
漏洞一见诸报道，OpenSSL便发布了针对心脏滴血的补丁。即便如此，1年半之后，仍有20多万台设备没有打上补丁。
心脏滴血只是冰山一角
围绕心脏滴血的所有关注(当然还有不必要的心理恐惧)，表明了小小编程失误在当下互联时代会造成多大的破坏。
计算机技术早期，漏洞不过意味着一点点的不便。
OpenSSL技术分析与处理建议
阅读： 32016年4月28日（Thu Apr 28 13:20:13 UTC 2016），OpenSSL官方公告，将会在2016年5月4日（Thu May 3 12:00-15:00 UTC 2016）发布新版本，修复多个关于OpenSSL高级别威胁漏洞。
赛门铁克：我们能否信任 OpenSSL？
本文将探讨由于漏洞利用（如广为人知的 Heartbleed 漏洞），这种被广泛使用的加密解决方案引发的安全问题。我们还将讨论能够采取哪些步骤为敏感数据提供更高的 安全性，同时避免遭受亚太地区政府愈加严厉的惩罚。更高的罚款尽管亚太地区设置的数据安全标准没有欧盟的标准那么高，但总体趋势是，与数据安全做法有关的规定愈发严格。例如，韩国在 2014 年通过了《个人信息保护法修正案》，进 一步加强了本已相当严格的安全控制。根据修正案的规定， 公司如今必须向受影响的个人报告所有数据泄露情况，并且 当涉及人数达到 10,000 人时，必须向政府报告。违反者最高可被处以 1 亿韩元的罚款，甚至可能面临监禁。
OpenSSL曝出新型漏洞“DROWN”沃通发布安全建议
3月1日爆出OpenSSL最新安全漏洞“DROWN”，SSL证书用户应该如何应对？沃通CA从专业角度给出应对策略。
什么是Drown漏洞
“DROWN”全称是 Decrypting RSA with Obsolete and Weakened eNcryption，即“利用过时的脆弱加密算法来对RSA算法进破解”，指利用SSLv2协议漏洞来对TLS进行跨协议攻击。
“DROWN攻击”主要影响支持SSLv2的服务端和客户端。SSLv2是一种古老的协议，许多客户端已经不支持使用，但由于配置上的问题，许多服务器仍然支持SSLv2。
OpenSSL CVE-2016-0800 和 CVE-2016-0703 漏洞修复细节拾趣
*原创作者：au2o3t@360 CloudSec Team（360信息安全部）1. 引子本来最近和360 Nirvan Team的DQ430愉快的参加某加密厂商的年度大会，结果openssl也出来碰热闹，也许真是为了DH兄弟送大礼，苦了我们这些安全运维的。感谢Shawn的指点!hf! 2. 细节360在内部信息安全实践历程中，“360信息安全部”逐步秉承最佳安全实践，在https等ssl领域逐渐做出了明显的变化。比如重要系统中禁止不安全的加密套件使用，来减少ssl的攻击面。
OpenSSL又出新漏洞，超过1100万https站点受影响
据了解，最近有研究人员在OpenSSL中发现了一个新的安全漏洞，这个漏洞将会对SSL（安全套接层）安全协议产生巨大的影响，而且攻击者还有可能利于这个漏洞来对现代的Web网络站点进行攻击。影响超过1100万网站我们将利用这一漏洞来进行攻击的行为称为“DROWN攻击”（ DecryptingRSA with Obsolete and Weakened eNcryption），即“利用过时的脆弱加密算法来对RSA算法进破解”。根据研究人员的预测，这种类型的攻击将很有可能使目前至少三分之一的HTTPS服务器瘫痪。发现这一漏洞的相关研究人员表示，受影响的HTTPS服务器数量大约为1150万左右。
OpenSSL的drown漏洞：超过1100万的OpenSSL的HTTPS网站存在风险
前言：OpenSSL的drown漏洞允许攻击者破坏加密体系，读取或偷取敏感通信，包括密码，信用卡帐号，商业机密，金融数据等。安妮儿紧急的翻译了Swati Khandelwal的这篇文章，希望对伙伴们有所帮助，由于时间紧急，翻译不足之处请见谅。
OpenSSL的drown漏洞
OpenSSL爆出了一种新的致命的安全漏洞，影响超过1100万的网站和SSLv2，SSLv2一个古老的协议，虽然现在许多客户端已经不支持使用SSLv2。
之所以被称为drown，是因为drown影响HTTPS和其他依赖SSL和TLS的服务,SSL和TLS协议保证用户上网冲浪,购物,即时通信而不被第三方读取到。
OpenSSL高危漏洞：允许黑客解密HTTPS通信流量（CVE-2016-0701）
OpenSSL加密代码库的维护者们宣布修复了一个高危漏洞。该漏洞能让黑客获取在HTTPS和其他安全传输层，对加密通信进行解密的密钥。OpenSSL漏洞细节当各种条件满足时，该漏洞就可以被利用。首先，这个漏洞存在于OpenSSL v1.0.2。依赖它的应用，必须是使用数字签名算法生成基于DH密钥交换的临时key。默认情况下，该类服务器将复用相同的DH私钥，这会让它更易受到密钥覆盖攻击。基于DSA的DH（Diffie Hellman）配置（依赖于静态DH加密套件），也是会受影响的。幸运的是，许多主流应用的配置并不是OpenSSL+基于DSA的DH。
OpenSSL的过去、现在和未来
极少有什么事物在其发展历程中有确定的转折点——那种唯一的日子，人们可以明确指出并感叹：“这就是所有的一切都改变了的那天！”作者：迈克尔·米莫索，前TechTarget安全频道主编译者：nana对OpenSSL而言，那一天是2014年4月7日，“心脏滴血”进入安全词典的日子。心脏滴血是历史悠久的加密库中的一个高危漏洞。OpenSSL应用广泛，成千上万的商业和自用软件项目都有应用。心脏滴血的爆出意味着，这个全互联网范围的漏洞能泄露足够的内存供黑客挖掘出从登录凭证到加密密钥的任何东西。对全世界的服务器管理员来说那是非常糟糕的一天，对维护OpenSSL的小团队而言那同样是地狱般的一天。
“心脏出血”漏洞一周年全球普查#知道创宇#
概述
2014 年 4 月 7 日，开源安全组件 OpenSSL 爆出重大漏洞（CVE-2014-0160），可造成敏感信息泄露。该漏洞是由 Codenomicon 和谷歌安全工程师独立发现并提交，最终由程序员 Sean Cassidy 将详细利用机制发布出来的。其成因是 OpenSSL Heartbleed 模块存在一个 Bug，攻击者可以构造一个特殊的数据包获得存在该漏洞的服务器长达 64KB 的内存数据，而这段数据中可能包含用户的用户名、密码、密钥等敏感信息，因此该漏洞获得了一个名副其实的名字“心脏出血（OpenSSL Heartbleed）”漏洞。
“心脏出血”漏洞一周年全球普查
知道创宇 ZoomEye 团队 2015 . 04 . 08
本文英文版 PDF 下载：Annual Global Census of Heartbleed
概述
2014 年 4 月 7 日，开源安全组件 OpenSSL 爆出重大漏洞（CVE-2014-0160），可造成敏感信息泄露。该漏洞是由 Codenomicon 和谷歌安全工程师独立发现并提交，最终由程序员 Sean Cassidy 将详细利用机制发布出来的。
OpenSSL修补系列高危漏洞
OpenSSL漏洞一览
OpenSSL是对SSL和TLS协议的开源实现。这是一个技术的广泛使用，几乎每一个网站，Web会话进行加密，即使是在互联网上的网站的权力几乎有一半使用OpenSSL的Apache Web服务器。
OpenSSL的基金会表示他们将在本周四修复多个OpenSSL的安全漏洞在其广泛使用的开源软件，包括其中一个高危漏洞。
心脏出血漏洞（CVE-2014-0160）去年四月被发现在较早版本的OpenSSL，允许黑客读取用户的加密数据的敏感内容，如信用卡交易，甚至从互联网服务器或客户端软件盗取SSL密钥。
发布时间:2015-03-23 00:30 |
阅读:408356 | 评论:0 |
标签:Web安全 CVE-2014-0160 CVE-2014-0224 CVE-2015-0204 CVE-2015-029
OpenSSL FREAK Attack漏洞(CVE-2015-0204)检测方法及修复建议
0x01 前言
临近元宵佳节之际，OpenSSL又因为FREAK attack（also known as the Factoring Attack on RSA-EXPORT Keys vulnerability or CVE-2015-0204）漏洞吵得沸沸扬扬的。 苹果和谷歌均在本周二表示，它们正在修复近期发现的“FREAK”信息安全漏洞,这一漏洞已经影响了诸多移动设备和Mac电脑。
发布时间:2015-03-07 22:05 |
阅读:487189 | 评论:0 |
标签:系统安全 alert handshake failure americanexpress.com anquanmaibo
又一重大漏洞现身 “疯怪”危及世界互联网安全
安全专家警告，一个潜伏多年的安全漏洞将危及计算机与网页间的加密连接，导致苹果和谷歌产品的用户在访问数十万网站时遭到攻击，包括白宫、国家安全局和联邦调查局的网站，并危及世界互联网安全。该漏洞被称为“疯怪”（Freak），是一个针对安全套接层协议(SSL)以及传输层安全协议(TSL)的漏洞。通过它，攻击者将得以实施中间人窃听攻击。该漏洞危及到大量网站、苹果的Safari浏览器、谷歌的Android操作系统，以及使用早于1.0.1k版本的OpenSSL的用户。问题起源于美国在上世纪90年代早期施行的出口限制政策，它禁止了美国的软件制造商向海外出口带有高级加密功能的产品。
OpenSSL出现新漏洞 多个著名网站可能受影响#CVE-2015-0204#
3月4日，猎豹移动安全实验室（原金山毒霸）发布安全警告，著名开源软件OpenSSL又爆出新漏洞Tracking the FREAK Attack（CVE-2015-0204）。目前已知国内多个著名网站搜狐、苏宁、Smzdm等存在该漏洞，如果用户在不安全的网络下访问这些网站，可能被窃取账号密码、被迫访问钓鱼网站等。
据介绍，该漏洞存在于OpenSSL的通讯协商处理方式上。
美国早期技术出口管制造成Freak漏洞，影响Android及Safari用户
该漏洞主要原因为被刻意削弱的出口密码套件，这种演算法是1990年代美国政府为了让NSA能够破解所有加密的外国通讯而发展的技术，安全等级较高的加密演算法则被视为战争武器而禁止出口。虽然2000年后美国逐步放松密码出口管制，但至今许多安全实作仍支援这套弱演算法，讽刺的是，美国许多政府机关，包括NSA、FBI，还有诸如IBM及赛门铁克等重量级的知名网站竟然伺服器也使用出口密码套件，
安全研究人员发现TLS/SSL安全漏洞，可让骇客发动跨站攻击以窃取使用者帐密资料，影响Android浏览器及苹果Safari用户。而这个漏洞的原因，竟然源自于美国过去对于技术的出口管制。
Tracking the FREAK Attack（CVE-2015-0204）检测办法
执行命令：
openssl s_client -connect www.ijiandao.com:443 -cipher EXPORT
CONNECTED
61728:error:14077410:SSL routines:SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure:/SourceCache/OpenSSL098/OpenSSL098-52.10.1/src/ssl/s23_clnt.c:593:
替换“www.ijiandao.com”做你的域名。
如何阻止下一次心脏出血漏洞
原文：How to Prevent the next Heartbleed.docx翻译：赵阳一、引言基于OpenSSL的心脏出血漏洞被认为是CVE-2014-0160的严重问题，OpenSSL被广泛的应用于SSL和TLS插件上。本文用对心脏出血漏洞的解释来说明这个漏洞是怎么被利用的。本文中研究了抗心脏出血漏洞及其相似漏洞的专用工具和技术。我首先通过简单的测试来分析为什么很多的工具和技术不能发现这些漏洞，这样可以使我们更能了解到为什么之前的技术不能发现这些漏洞。我还要概括总结要点来减少这些的问题。
Ruby OpenSSL 私钥伪造脚本
前段时间的openssl heartbleed 让我们心惊胆战的过了几天。从用户数据泄露到 OpenSSL周边产品，从服务端到客户端， 从https 私钥泄露到 openvpn 、openssh 、sftp 等私钥泄露。很多地方我们无能为力。太多的用户都认为https 就是安全的了， 在此之前也有各种各样的中间人攻击出现下面我也贴段代码给大家看看。是 Ruby OpenSSL 的私钥伪造。为了社会的和谐，具体用法我就不说了。
黑帝公告 📢
❤十年经营、持续更新、精选优质黑客技术文章的Hackdig，帮你成为掌握黑客技术的英雄❤
🙇🧎￥由自富财，长成起一↓
❤用费0款退球星，年1期效有员会
