openssl“心脏出血”漏洞的检测与修复

wKiom1NIDfvhqFTjAAD9jUP8qCw976.jpg  近日,互联网爆发了被称为“心脏出血”式的严重安全事件。

那么这个事件对谁有影响呢?
答案是:普通上网者。比如,你登陆支付宝,淘宝,网银等账号密码可能被悄无声息窃取。

为什么呢?SSL协议是为网络通信提供安全及数据完整性的一种安全协议,也是互联网上最大的“门锁”。而此次曝出的Open SSL漏洞让这个“门锁”形同虚设,可以让攻击者获得服务器内存中的数据内容,甚至导致网络账户与密码、网银资金、电子邮件等重要信息的泄漏! “心脏出血”漏洞严重危害网站安全。

腾讯相关报道: http://tech.qq.com/a/20140410/015389.htm

如何检测:
一、Linux CentOS  (yum源服务已在第一时间更新网站openSSL版本并通过专业检测,但仍建议客户对帐号密码定期修改,避免风险。)
rpm -q --changelog openssl-1.0.1e | grep CVE-2014-0160

如果显示:
20140414174210说明已经修复了漏洞

二、Linux Ubuntu (默认安装的版本是安全的,版本号是libssl1.0.0)
dpkg -l|grep libssl
如果显示:
Version: 1.0.1-4ubuntu5.12
说明已经修复了漏洞

 

如何修复:

一、Linux CentOS
1、推荐此方法,兼容性好
yum install openssl
2、下载RPM安装包手动安装(主要适用于断网环境)
http://mirror.bit.edu.cn/centos/6.5/updates/x86_64/Packages/openssl-1.0.1e-16.el6_5.7.i686.rpm
http://mirror.bit.edu.cn/centos/6.5/updates/x86_64/Packages/openssl-1.0.1e-16.el6_5.7.x86_64.rpm
http://mirror.bit.edu.cn/centos/6.5/updates/x86_64/Packages/openssl-devel-1.0.1e-16.el6_5.7.i686.rpm
http://mirror.bit.edu.cn/centos/6.5/updates/x86_64/Packages/openssl-devel-1.0.1e-16.el6_5.7.x86_64.rpm

3、去openssl官网下载源码包编译安装
wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz
tar xvf openssl-1.0.1g.tar.gz
cd openssl-1.0.1g
./configure
make
make install
/etc/init.d/nginx restart

#重启nginx,完成漏洞修补。

二、Linux Ubuntu
1、APT-GET包管理器升级
apt-get update
apt-get install libssl1.0.0

2、去openssl官网下载源码包编译安装
wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz
tar xvf openssl-1.0.1g.tar.gz
cd openssl-1.0.1g
./configure
make
make install
/etc/init.d/nginx restart

#重启nginx,完成漏洞修补。

发表评论

电子邮件地址不会被公开。 必填项已用*标注