প্রশ্ন Heartbleed: নির্ভরযোগ্যভাবে এবং portably OpenSSL সংস্করণ চেক কিভাবে?


আমি জিএনইউ / লিনাক্স এবং অন্যান্য সিস্টেমে ওপেনএসএসএল সংস্করণটি পরীক্ষা করার জন্য একটি নির্ভরযোগ্য এবং পোর্টেবল উপায় দেখছিলাম, তাই ব্যবহারকারীরা সহজেই আবিষ্কার করতে পারেন যে তারা হার্টবলেড বাগের কারণে তাদের SSL আপগ্রেড করতে পারছেন কিনা।

আমি এটা সহজ হবে মনে, কিন্তু আমি সর্বশেষ ওপেনসুল 1.0.1g সঙ্গে উবুন্টু 12.04 LTS উপর একটি সমস্যা মধ্যে দৌড়ে:

openssl সংস্করণ -a

আমি একটি পূর্ণ সংস্করণ দেখতে প্রত্যাশী ছিল, কিন্তু পরিবর্তে আমি এই পেয়েছিলাম:

ওপেনএসএল 1.0.1 14 মার্চ ২01২
নির্মিত: মঙ্গলবার 4 জুন 07:26:06 ইউটিসি ২013
প্ল্যাটফর্ম: [...]

আমার অপ্রত্যাশিত অবাক, সংস্করণ চিঠি প্রদর্শন করা হয় না। কোন F, কোন জি নেই, শুধু "1.0.1" এবং যে এটি। তালিকাভুক্ত তারিখগুলি একটি (অ-) দুর্বল সংস্করণ আবিষ্কার করতে সহায়তা করে না।

1.0.1 (a-f) এবং 1.0.1g এর মধ্যে পার্থক্যটি অত্যন্ত গুরুত্বপূর্ণ।

প্রশ্নাবলী:

  • সংস্করণ চেক করার জন্য একটি নির্ভরযোগ্য উপায় কি, বিশেষ করে ক্রস distro?
  • কেন প্রথম সংস্করণ দেখাচ্ছে সংস্করণ চিঠি? উবুন্টু 12.04 এলটিএস ছাড়া অন্য কিছুতে আমি পরীক্ষা করতে পারিনি।

অন্যদের পাশাপাশি এই আচরণ রিপোর্ট করা হয়। কয়েকটি উদাহরণ:

কিছু (distro- নির্দিষ্ট) পরামর্শ ঘূর্ণায়মান:

  • উবুন্টু এবং ডেবিয়ান: apt-cache policy openssl এবং apt-cache policy libssl1.0.0। সংস্করণ সংখ্যাগুলি এখানে প্যাকেজগুলিতে তুলনা করুন: http://www.ubuntu.com/usn/usn-2165-1/
  • ফেডোরা ২0: yum info openssl (টুইটারে @ জনেমেব ধন্যবাদ) এবং yum info openssl-libs

ওপেনএসএল এর পুরোনো সংস্করণটি এখনও বাসিন্দা কিনা তা পরীক্ষা করছে:

উবুন্টু এবং ডেবিয়ান এ ওপেনএসএল প্যাকেজ আপডেট করা সবসময় যথেষ্ট নয়। আপনি libssl1.0.0 প্যাকেজ আপডেট করতে হবে, এবং তারপর- যদি চেক করুন openssl version -a ইঙ্গিত built on: Mon Apr 7 20:33:29 UTC 2014


86
2018-04-07 23:51


উত্স


অন্তত নিশ্চিত হোন যে ওপেনএসএল সংস্করণটি আপনার আছে নয় জি কারণ এটি দেখায় তারিখ - Pato Sáinz
এটি CentOS উপর কাজ করে [root@null~]# openssl version -a OpenSSL 1.0.1e-fips 11 Feb 2013 - Jacob
@ প্যাটোসিনজ আমি চেক করেছি apt-cache policy openssl এবং এটি সঙ্গে প্রতিক্রিয়া: Installed: 1.0.1-4ubuntu5.12 যা 1২.04 LTS এর জন্য উবুন্টু 1.0.1g দ্বারা মুক্তি পেয়েছে। আমি লগ আউট এবং ফিরে। অন্য কিছু আমি যাচাই করতে পারে কি? - Martijn
আমি এটি নির্দেশ করবো, যেটার জন্য এটি জানা নেই, যদি এটি সহায়ক হয় ... ওবন্টু 12.04 LTS ওপেনএসএল 1.0.1 (ভ্যানিলা) দিয়ে প্রেরণ করা হয়েছে। - HopelessN00b
যদি সেই বিল্ড ডেটা সঠিক হয়, তবে আপনি 1.0.1e এর চেয়ে সাম্প্রতিকতম "সংস্করণ সংস্করণ" কোডটি পেতে পারবেন না, যেহেতু 1.0.1f প্রতি ২014 সালে এসেছে OpenSSL 1.0.1 রিলিজ নোট। সরকারী ওপেনসএল 1.0.1f রিলিজের পূর্বে ব্যক্তিগত লাইন বা বিভাগগুলি আপনার উবুন্টু সংস্করণে ব্যাকপোর্ট করা হয়েছে। এবং বিল্ড তারিখ সম্পূর্ণরূপে সহায়ক যে কম হতে পারে। - Anti-weakpasswords


উত্তর:


OpenSSL এর আপনার সংস্করণ দ্বারা প্রদর্শিত তারিখের উপর ভিত্তি করে, এটি আপনাকে মনে হয় হয় সেখানে প্রদর্শিত পূর্ণ সংস্করণ দেখা।

খোলা এসএসএস 1.0.1 মার্চ 14, 2012 মুক্তি পায়। ২011 সালের 19 এপ্রিল মুক্তি পেয়েছে 1.0.1a।

তাই, আমি এগিয়ে যাচ্ছি এবং বলছি যে openssl version -a সিস্টেমটিতে ইনস্টল করা OpenSSL এর সম্পূর্ণ সংস্করণ প্রদর্শন করার জন্য সঠিক, ক্রস-ডিস্ট্রো উপায়। আমার কাছে যে সমস্ত লিনাক্স ডিস্ট্রো অ্যাক্সেস আছে এবং সেগুলির জন্য এটি কাজ করে সেই পদ্ধতিটি help.ubuntu.com ওপেনএসএলএল ডকুমেন্টেশনের সাথে পরামর্শ করা হয়েছে। উবুন্টু এলটিএস 12.04 ভ্যানিলা ওপেনএসএল ভি 1.1.0.1 এর সাথে প্রেরিত, যা একটি সংস্করণ যা এটির একটি চিঠি না থাকার কারণে সংক্ষিপ্ত সংস্করণের মত দেখাচ্ছে।

যে বলেন, এটি একটি আছে বলে মনে হচ্ছে মুখ্য উবুন্টুতে বাগ (বা কিভাবে তারা OpenSSL প্যাকেজ করে) openssl version -a 14 মার্চ, ২01২ থেকে মূল 1.0.1 সংস্করণ ফিরে চলছে, তথাপি OpenSSL কোনও নতুন সংস্করণে আপগ্রেড করা হয়েছে কিনা তা নির্বিশেষে। এবং, বেশিরভাগ জিনিস যখন বৃষ্টি হয় তখন এটি ঢেলে দেয়।

ওপেন্টু ওপেনসেলএল (বা অন্যান্য প্যাকেজ), ব্যাকআপ আপডেটগুলির অভ্যাসে একমাত্র প্রধান ডিস্ট্রো নয় যা আপস্ট্রিম আপডেট এবং সংস্করণ নম্বরিংয়ের উপর নির্ভর করে যা সবাই স্বীকার করে। ওপেনএসএল-এর ক্ষেত্রে, যেখানে চিঠির সংস্করণ সংখ্যা কেবলমাত্র বাগ ফিক্স এবং নিরাপত্তা আপডেটগুলি উপস্থাপন করে, এটি প্রায় অসম্ভব মনে হয়, তবে আমি জানানো হয়েছে যে এটি হতে পারে হয় FIPS-যাচাই প্লাগইন প্রধান লিনাক্স ডিস্ট্রো জাহাজ OpenSSL এর সাথে প্যাকেজযুক্ত। যেকোন পরিবর্তনের কারণে ট্রিগার পুনরুদ্ধারের প্রয়োজনীয়তার কারণে, সুরক্ষা গর্তগুলিকে প্লাগ করে এমন পরিবর্তনগুলিও সংস্করণ-লক করা হয়।

উদাহরণস্বরূপ, ডেবিয়ান এ, নির্দিষ্ট সংস্করণটি একটি সংস্করণ নম্বর প্রদর্শন করে 1.0.1e-2+deb7u5 পরিবর্তে আপস্ট্রিম সংস্করণ এর 1.0.1g

ফলস্বরূপ, এই সময়ে, লিনাক্স ডিস্ট্রিবিউশন জুড়ে SSL সংস্করণগুলি পরীক্ষা করার জন্য কোন নির্ভরযোগ্য, পোর্টেবল উপায় নেই, কারণ তারা প্রত্যেকে তাদের নিজস্ব ব্যাকপোর্টযুক্ত প্যাচ এবং বিভিন্ন সংস্করণ সংখ্যায়ন স্কিমগুলির সাথে আপডেটগুলি ব্যবহার করে। আপনার চালনা করা প্রতিটি লিনাক্সের প্রতিটি বিভাজনের জন্য নির্দিষ্ট সংস্করণ নম্বরটি সন্ধান করতে হবে এবং আপনার সার্ভারগুলি একটি ঝুঁকিপূর্ণ সংস্করণটি চালাচ্ছে কিনা তা নির্ধারণ করতে সেই বিতরণের নির্দিষ্ট সংস্করণ নম্বরের বিরুদ্ধে ইনস্টল করা OpenSSL সংস্করণটি পরীক্ষা করে দেখুন।


67
2018-04-08 00:05



উবুন্টু রিপোজিটরির তুলনায় আমি নিজে নিজে সংকলিত বা অন্য উত্স থেকে ডাউনলোড না করেই আমার ইনস্টল করা একটি সহজ উবুন্টু 12.04 LTS। উবুন্টু যদি সংক্ষিপ্ত সংস্করণ সংখ্যার সাথে ওপেনএসএল বিতরণ করছে, তবে openssl version -a একটি পোর্টেবল পদ্ধতি নয় (অন্তত উবুন্টুতে পোর্টেবল নয়)। আমি চেক করেছি apt-cache policy openssl এবং এটি সঙ্গে প্রতিক্রিয়া: Installed: 1.0.1-4ubuntu5.12 যা 1২.04 LTS এর জন্য উবুন্টু 1.0.1g দ্বারা মুক্তি পেয়েছে। আমি চেক আউট আগে লগ আউট এবং ফিরে। - Martijn
HopelessN00b, সংস্করণ bumping পরিবর্তে ব্যাকপোর্টিং ফিক্স নীতি সম্পর্কে সন্দেহজনক কিছুই নেই; এটি প্ল্যাটফর্ম স্থিতিশীলতা নিশ্চিত করার একটি দুর্দান্ত উপায় যা সার্ভার পরিবেশে অত্যন্ত-পছন্দসই। কোন সিদ্ধান্তের মত, এর ফলাফল রয়েছে, যা ব্যবহারকারীদের সচেতন হওয়া দরকার; কিন্তু শুধু কারণ এটি "আমি foo x.y.z চালাচ্ছি তাই আমি সর্বশেষ শোষণের জন্য ঝুঁকিপূর্ণ নই"যুক্তি লাইন, যে এটি একটি খারাপ জিনিস না। - MadHatter
@Towo সংস্করণ সংখ্যা একটি কারণে বিদ্যমান। যদি আমরা উইন্ডোটির বাইরে আপস্ট্রীম সংস্করণ নম্বরগুলিকে চিকন করবো কারণ "এন্টারপ্রাইজ" বা যাই হোক, সংস্করণ সংখ্যার সাথে কেন বিরক্ত? পাশাপাশি শুধু আলাপচারিতা সঙ্গে আমাদের সব উপাদান নামকরণ শুরু করতে পারেন। আমরা দুর্বল OpenSSL সংস্করণ কল করতে পারেন পবিত্র heartbleed এবং নির্দিষ্ট বেশী চকচকে Coagulant। - HopelessN00b
@ হপলেএনএনএইচ.বি. আমি মনে করি আপনি "X.Y.Z" ফাঁদে সংস্করণটি সংশোধন করা হয়েছে বলে মনে করেন, তারা সংস্করণ সংখ্যার অনুসরণ করে না কারণ সর্বশেষ সংস্করণে আমদানি করা সমস্তই বাগ এবং নিরাপত্তা সংশোধন করা হয়। যদি তারা সংস্করণ নম্বরটি বাম্প করে তবে আপনি অতিরিক্ত কার্যকারিতাটিও আশা করবেন .. "আমার কাছে OpenSSL v X.Y.Z আছে, কেন আমার ECDHA ???? ..etc নেই"। যখন আপনি বুঝতে পারেন যে এটি কেবলমাত্র ত্রুটি-বিচ্যুতি। - NickW
@ নিকডু @ জুবাল @ ম্যাডহ্যাটার ওপেনএসএল-এর সাথে জিনিসটি, যদিও, তা হল: After the release of OpenSSL 1.0.0 the versioning scheme changed. Letter releases (e.g. 1.0.1a) can only contain bug and security fixes and no new features. সুতরাং, আপস্ট্রিম সংস্করণ পরিকল্পনা পরিত্যাগ কিছুই অর্জন করা হয়; আপডেটগুলি ব্যাকপোর্টিং অপরিহার্যভাবে আপডেট হওয়া সংস্করণটি ব্যবহার করার মতো একই, কারণ আপডেটটিতে কেবলমাত্র নিরাপত্তা এবং বাগ সংশোধনগুলি রয়েছে। এটি কী করে তা বিভ্রান্ত করে এবং লিনাক্স ডিস্ট্রো জুড়ে OpenSSL সংস্করণটি পোর্টেবলভাবে চেক করার কোন উপায় ছাড়াই আমাদের ছেড়ে দেয়। - HopelessN00b


যদি আপনি সত্যিই কিছু ক্রস প্ল্যাটফর্ম চান, সংস্করণ সংখ্যার উপর নির্ভর করার পরিবর্তে নিজেকে দুর্বলতার জন্য পরীক্ষা করুন। 

আপনার এমন কোড থাকতে পারে যা কোনও সংস্করণ নম্বরকে রিপোর্ট করে যা দুর্বল বলে পরিচিত, কিন্তু প্রকৃত কোড দুর্বল নয়। এবং বিপরীত - নীরবভাবে দুর্বল কোড - এমনকি খারাপ হতে পারে!

ওপেনসোর্স এবং ওপেনএসএসএইচ মত ওপেন সোর্স পণ্যগুলি বান্ডল করে এমন অনেক বিক্রেতারা এপিআই স্থিতিশীলতা এবং ভবিষ্যদ্বাণীযোগ্যতা বজায় রাখার জন্য, কোডের একটি পুরোনো সংস্করণে জরুরী সংশোধনগুলি পুনরাবৃত্তি করবে। এই "দীর্ঘমেয়াদী রিলিজ" এবং যন্ত্রপাতি প্ল্যাটফর্মের জন্য বিশেষ করে সত্য।

কিন্তু বিক্রেতারা যারা এই নীরবভাবে (তাদের নিজস্ব সংস্করণ স্ট্রিং প্রতিক্রিয়া যোগ না করে) দুর্বলতা স্ক্যানার (এবং বিভ্রান্ত ব্যবহারকারীদের) মধ্যে মিথ্যা ইতিবাচকগুলি ট্রিগার করার ঝুঁকি চালায়। তাই এই স্বচ্ছ এবং যাচাইযোগ্য করতে, কিছু বিক্রেতা প্রধান প্যাকেজ সংস্করণে তাদের নিজস্ব স্ট্রিং যোগ। ডেবিয়ান (ওপেনএসএলএল) এবং ফ্রিবিএসডি উভয় (OpenSSH এ, মাধ্যমে VersionAddendum sshd_config নির্দেশিকা) কখনও কখনও এই কাজ।

যেসব বিক্রেতা এই কাজটি করেন না তারা সম্ভবত অন্যান্য প্রোগ্রামগুলি সংস্করণ নম্বরগুলি পরীক্ষা করে এমন অনেক প্রত্যক্ষ ও পরোক্ষ উপায়ে ভাঙ্গন হওয়ার সম্ভাবনাকে কমিয়ে আনতে পারে।

সুতরাং এটি এই মত দেখতে পারেন:

$ cat /etc/lsb-release 
DISTRIB_ID=Ubuntu
DISTRIB_RELEASE=12.04
DISTRIB_CODENAME=precise
DISTRIB_DESCRIPTION="Ubuntu 12.04.4 LTS"

$ openssl version
OpenSSL 1.0.1 14 Mar 2012

... যদিও এটা প্যাচ করা হয়েছে:

$ dpkg -l openssl | grep openssl
ii  openssl  1.0.1-4ubuntu5.12  [truncated]

$ ls -la `which openssl`
-rwxr-xr-x 1 root root 513208 Apr  7 12:37 /usr/bin/openssl

$ md5sum /usr/bin/openssl
ea2a858ab594905beb8088c7c2b84748  /usr/bin/openssl

খেলার মত এই জিনিস সঙ্গে, আপনি যদি ভাল আপনি বন্ধ সংস্করণ নম্বর বিশ্বাস করবেন না।


18
2018-04-08 20:52



এটা স্পষ্ট যে সংস্করণগুলি পরীক্ষা করা যতটা সহজ এবং রূপান্তরযোগ্য নয় আমি আশা করি এটি হবে। দুর্বলতার জন্য পরীক্ষা করা ক্রস প্ল্যাটফর্ম, তবে এটি করা আরও কঠিন: আপনার চলমান নির্দিষ্ট ঝুঁকিপূর্ণ সফ্টওয়্যার পরিষেবাদির জন্য আপনার অবশ্যই নির্ভরযোগ্য POC বা পরীক্ষার সুবিধা থাকতে হবে। এই ক্ষেত্রে এটি অ্যাপাচি এবং nginx জন্য একটি পিওসি দিয়ে শুরু। যদি আমি কেবলমাত্র সেই মুহুর্তে SSL দিয়ে SMTP ব্যবহার করতাম, এবং আমি কি দুর্বল কিনা তা পরীক্ষা করতে চাই? অবশেষে আমরা বেশিরভাগ পরিষেবার জন্য পরীক্ষা করব, তবে এটি কিছু সময় নিতে পারে। - Martijn
Martijn, যে একটি ন্যায্য বিন্দু। যখন একটি পরীক্ষা উপলব্ধ না হয়, মাধ্যমিক পদ্ধতিগুলি (আপনার লক্ষ্য সিস্টেমে প্রভাবিত বাইনারিগুলির জন্য চেকসাম ট্র্যাক করা) কম সর্বোত্তম, তবে কাজটি সম্পন্ন করার জন্য যথেষ্ট ভাল হতে পারে ... এবং তারপর পরবর্তী আগুনে চলে যেতে পারে। :-) - Royce Williams


দুর্ভাগ্যবশত, আমি নিশ্চিত নই হয় এই কাজ একটি ক্রস প্ল্যাটফর্ম উপায়। আমি একটি ব্লগ পোস্টে আলোচনা হিসাবে, ওপেনএসএল সংস্করণটি উবুন্টু 1২.04 রেমেইনস 1.0.1 এ প্রদর্শিত হয়েছে একটি নির্দিষ্ট সংস্করণে আপগ্রেড করার পরে।

উবুন্টু 12.04 এর জন্য, আপনি নীচের সবগুলি সত্য কিনা তা আপডেট করা হয়েছে কিনা তা আপনি বলতে পারেন:

  1. dpkg -s openssl | grep Versionসংস্করণ 1.0.1-4ubuntu5.12 বা পরে দেখায়।
  2. dpkg -s libssl1.0.0 | grep Versionসংস্করণ 1.0.1-4ubuntu5.12 বা পরে দেখায়।
  3. openssl version -a 7 এপ্রিল ২014 বা এর পরে একটি "নির্মিত" তারিখ দেখায়।

অতিরিক্ত তথ্যের জন্য @ ড্যানি ধন্যবাদ।


14
2018-04-08 03:15



ঠিক আছে, যে ক্ষেত্রে আমি যে প্যাকেজ সংস্করণ যোগ করা আবশ্যক 1.0.1-4ubuntu5.12 শুধুমাত্র উবুন্টু 12.04 এলটিএসের জন্য। আপনি উবুন্টু 12.10 তে থাকলে কমপক্ষে সংস্করণটি দেখতে পাবেন 1.0.1c-3ubuntu2.7 এবং যদি আপনি 13.10 তে থাকেন তবে এটি অন্তত সংস্করণ হওয়া উচিত 1.0.1e-3ubuntu1.2, উৎস অনুযায়ী: ubuntu.com/usn/usn-2165-1 - Martijn
দুর্ভাগ্যবশত এই অপর্যাপ্ত। আপনি অবশ্যই এছাড়াও আপগ্রেড libssl1.0.0 স্পষ্টভাবে উবুন্টু উপর। যদি আপনি 7 এপ্রিল ২014 এর আগে একটি বিল্ট ডেট দেখতে পান তবেও যদি openssl সংস্করণটি সঠিক বলে মনে হয় তবে (1.0.1-4ubuntu5.12 উবুন্টু 1২.04 এর জন্য) সম্ভবত আপনি এখনও দুর্বল। - danny
@ ড্যানি তুমি আমাকে অনেক কাজ করেছ আমি কিছু 12.04 সিস্টেমের উপর বিল্ড তারিখ সঠিক ছিল এবং অন্যদের উপর ভুল কেন তা বুঝতে চেষ্টা ছিল। আপনি একটি lifesaver করছি! - Schof
openssl version -a 7 এপ্রিল বিল্ডের তারিখ প্রয়োজন হবে না, কারণ ফিক্স পুরানো রিলিজগুলিতে ব্যাকপোর্ট করা হচ্ছে। - Patrick James McDougle


নিম্নলিখিত চেষ্টা করুন। এটা থেকে সব স্ট্রিং নিষ্কাশন করা হবে ক্রিপ্টো ssh বিরুদ্ধে লিঙ্ক করা হয় যে লাইব্রেরি। এটি আউটপুট একাধিক লাইন উত্পাদন, কিন্তু প্রয়োজন হলে 1 লাইন রূপান্তর করা যেতে পারে।

ldd `which ssh` | awk '/\// { print $3 }' | grep crypto | xargs strings  | grep OpenSSL

উত্পাদন করে

OpenSSLDie
DSA_OpenSSL
...
MD4 part of OpenSSL 1.0.1f 6 Jan 2014 
MD5 part of OpenSSL 1.0.1f 6 Jan 2014
... 
etc

উদাহরণস্বরূপ জেন্টু উপর উত্থান আগে

[ebuild     U  ] dev-libs/openssl-1.0.1f [1.0.1c] USE="bindist (sse2) tls-heartbeat%* zlib -gmp -kerberos -rfc3779 -static-libs {-test} -vanilla" 4,404 kB

উপরের কমান্ড ফলাফল

...
OpenSSL 1.0.1c 10 May 2012

পরে

...
OpenSSL 1.0.1f 6 Jan 2014

ওহ, এখনও কোন জি।


4
2018-04-08 14:45



আমি ভেবেছিলাম আপনি খুব ভাল সমাধান প্রদানের কাছাকাছি ছিলেন, কিন্তু দুর্ভাগ্যবশত এটি উবুন্টু 1২.04 এলটিএসের ক্রিপ্টো লাইব্রেরির জন্য কাজ করে না। এটা সংস্করণ সঙ্গে সব স্ট্রিং প্রদর্শন করে [...] part of OpenSSL 1.0.1 14 Mar 2012, একই উপায় হিসেবে openssl version -a আছে। এই একটি কৌশল যে যদিও অন্যান্য ক্ষেত্রে কাজ করতে পারে! - Martijn
@ মার্টিজন ভাল এটা দুর্ভাগ্যজনক, কিন্তু এটি উবুন্টু 12.10 এ কাজ করে। অদ্ভুত যে এটি 12.04 এ নিজেকে ভুল-সনাক্ত করবে। একাধিক libs আছে? এটি কি সম্ভব এসএসই সবচেয়ে আপ টু ডেট ব্যবহার করে না? - waTeim
আমি অন্য কোন opensl বাইনারি বা ক্রিপ্টো লাইব্রেরি খুঁজে পেতে অক্ষম। অন্যরা এটা সুপারিশ করে যে, 12.04 LTS এ, উবুন্টু এই সংস্করণটি বাড়িয়ে 1.0.1 তে পরিবর্তন করে। যদিও 12.10 একটি এলটিএস নয় এবং তাই উবুন্টু একটি ব্যাকপোর্টের পরিবর্তে সর্বশেষ সংস্করণ ব্যবহার করে। - Martijn


এই স্ক্রিপ্টগুলির মধ্যে কোনটিই সমস্ত পরিষেবা পরীক্ষা করে নাকি তারা কেবল পরীক্ষা করে HTTPS দ্বারা? আমি যতদূর জানি, পোস্টগ্রি ঝুঁকিপূর্ণ, কিন্তু এটি শুধুমাত্র একটি গুজব আক্রমণ না হওয়া পর্যন্ত একটি গুজব।

সেখানে একটি metasploit স্ক্রিপ্ট ব্যবহারের জন্য উপলব্ধ।

https://github.com/rapid7/metasploit-framework/commit/dd69a9e5dd321915e07d8e3dc8fe60d3c54f551a

আপনি এই টাইপ করতে পারেন (সঙ্গে পরীক্ষিত GnuWin32 ওপেনএসএল বাইনারি সংস্করণ 1.0.1.6, তারিখ ২014-14-14), অথবা এই নীচের মন্তব্যটিতে স্ক্রিপ্টটি ব্যবহার করুন। এটা আরো সঠিক এবং সহজ!

s_client -connect a23-75-248-141.deploy.static.akamaitechnologies.com:443 -debug -state

একবার সংযুক্ত টাইপ বি এবং আপনি একটি দুর্বল হোস্টে দেখতে পাবেন এবং আপনি সংযোগ বিচ্ছিন্ন হবে না:

B

HEARTBEATING
write to 0x801c17160 [0x801cbc003] (66 bytes => 66 (0x42))
0000 - 18 03 03 00 3d 8f 6f 3c-52 11 83 20 9c a2 c0 49   ....=.o 5 (0x5))
0000 - 18 03 03 00 3d                                    ....=
read from 0x801c17160 [0x801cb7008] (61 bytes => 61 (0x3D))
0000 - 05 4d f5 c0 db 96 d1 f5-c7 07 e5 17 1f 3b 48 34   .M...........;H4
0010 - 6e 11 9d ba 10 0c 3a 34-eb 7b a5 7c c4 b6 c0 c0   n.....:4.{.|....
0020 - b0 75 0e fe b7 fa 9e 04-e9 4e 4a 7d 51 d3 11 1f   .u.......NJ}Q...
0030 - e2 23 16 77 cb a6 e1 8e-77 84 2b f8 7f            .#.w....w.+..
read R BLOCK

আপনি এই এক অনুরূপ দেখাচ্ছে যে একটি হৃদস্পন্দন প্রতিক্রিয়া পাবেন।

একটি প্যাচেড হোস্টে, আপনি নীচের মত একটি প্রতিক্রিয়া দেখতে পাবেন এবং আপনি সংযোগ বিচ্ছিন্ন হয়ে যাবে:

বি লিখুন

HEARTBEATING
write to 0x801818160 [0x8019d5803] (101 bytes => 101 (0x65))
0000 - 18 03 03 00 60 9c a3 1e-fc 3b 3f 1f 0e 3a fe 4c   ....`....;?..:.L
0010 - a9 33 08 cc 3d 43 54 75-44 7d 2c 7b f3 47 b9 56   .3..=CTuD},{.G.V
0020 - 89 37 c1 43 1c 80 7b 87-66 ff cb 55 5f 8d 1a 95   .7.C..{.f..U_...
0030 - 1b 4c 65 14 21 a1 95 ac-7a 70 79 fc cc a0 cf 51   .Le.!...zpy....Q
0040 - 0f 7e c5 56 14 c8 37 c1-40 0b b8 cb 43 96 8a e6   .~.V..7.@...C...
0050 - 21 42 64 58 62 15 fb 51-82 e6 7f ef 21 1b 6f 87   !BdXb..Q....!.o.
0060 - b9 c2 04 c8 47                                    ....G

সূত্র:

এই সরঞ্জাম আছে:


2
2018-04-09 11:43





উবুন্টুর জন্য আপনি ব্যবহার করতে পারেন:

aptitude show libssl1.0.0 | grep Version

এবং সাথে তুলনা করুন http://www.ubuntu.com/usn/usn-2165-1/। একটি রিবুট (!!!) পরে আপনি চেক করতে পারেন http://possible.lv/tools/hb


0
2018-04-08 11:14





আপনি ভাল OpenSSL OpenSSL 1.0.1j এ আপগ্রেড করতে চান।

http://blog.vincosolution.com/2014/10/upgrade-openssl-1-0-1j-debianubuntu.html


0
2017-10-19 01:57