heartpatch.us

heartpatch.us 正在建设中 修补全球万维网服务器上的 Heartbleed OpenSSL 漏洞。 背景 Heartbleed 是 OpenSSL 加密库中的一个安全漏洞，该库是传输层安全（TLS）协议的一种广泛使用的实现。该漏洞于2012年被引入软件，并于2014年4月公开披露。无论易受攻击的 OpenSSL 实例是作为 TLS 服务器还是客户端运行，Heartbleed 都可能被利用。它源于 TLS 心跳扩展实现中的输入验证不当（由于缺少边界检查）。因此，漏洞的名称来源于心跳。该漏洞被归类为缓冲区过度读取，即读取的数据量超过允许范围的情况。 电子前沿基金会、Ars...

DeadManSwitch

Dead Man Switch Resumen Dead Man Switch es una aplicación de seguridad multiplataforma escrita en Rust que protege automáticamente datos sensibles en situaciones de emergencia. La aplicación supervisa múltiples mecanismos de activación y ejecuta procedimientos inmediatos de bloqueo del sistema...

heartbleed

Heartbleed バグ シナリオの説明 Heartbleed バグは、OpenSSL ライブラリの脆弱性を悪用するサイバーセキュリティ攻撃の一例です。簡単に言うと、OpenSSL ライブラリの検証ステップが欠落しているため、ハッカーが脆弱なライブラリを使用しているサーバー上の機密情報にアクセスできる可能性があります。クライアントとサーバー間の SSL 接続を確立するためのハンドシェイクプロトコルの一部として、クライアントから heartbeat...

CVE-2014-0160.

CVE-2014-0160 Heartbleedを使用してWebアプリのメモリをリークするラボの構築 このリポジトリは、Heartbleedテクニックを使用してnginxを悪用できる環境を簡単に構築するためのコンテナを構築することに焦点を当てています: Dockerを使用した環境構築 サーバーセットアップの図 デモの手順 サーバー図 CVE-2014-0160 の問題は、OpenSSLライブラリがTLSハートビート機能を提供する際、バッファサイズが64KBであるためにメモリの過剰読み取りが発生し、サーバーメモリの機密情報が漏洩する脆弱性です。 攻撃の流れ heartbleed.py...

coronary

coronary CIDRブロックに対してOpenSSLのCVE-2014-0160、別名Heartbleedのテストを行います。 Jonathan Rudenbergのheartbleederに触発されました。 使い方 $ coronary 192.168.1.0/24 Scanning: 192.168.1.11/22 VULNERABLE - 192.168.1.71:443 has the heartbeat extension enabled and is vulnerable to CVE-2014-0160 SECURE - 192.168.1.119:443 does n...

openmagic

openmagic openmagic 可辅助您自动化测试和利用存在 OpenSSL TLS 心跳读取越界（CVE-2014-0160）漏洞的系统。基础模块封装了由 Jared Stafford 编写的 "ssltest.py" 程序的修改版本，并提供了以下附加功能： 以原始格式保存泄露的数据以供后续分析 解析 IP 地址，以便只执行一次 DNS 查询 使用 NMAP 检查目标服务是否存活（或过滤/关闭） 检查目标是否存在漏洞 在多个请求之间迭代并休眠 C ISGroup SRL http://www.isgroup.biz 作者：Francesco Ongaro...

heartbleed-PoC

Heartbleed PoC Un ejemplo de muestra del ataque Heartbleed usando el servidor https://www.cloudflarechallenge.com/ creado para probar este ataque. Primero, las dos mejores explicaciones que leí sobre el tema: http://www.seancassidy.me/diagnosis-of-the-openssl-heartbleed-bug.html...

HeartbleedAttack

Heartbleed 攻击：基于 Java 的攻击演示 概述 本仓库包含 Heartbleed.java，这是一个基于 Java 的自定义漏洞利用程序，旨在通过从运行 Apache（端口 443）和 Postfix（端口 465）的易受攻击服务器（IP：192.168.1.132）中提取敏感数据，来演示 Heartbleed 漏洞（CVE-2014-0160）。该漏洞利用程序发送畸形的 TLS 心跳请求，利用未修补的 OpenSSL 版本（1.0.1 至 1.0.1f）中的漏洞，每次请求最多可泄漏 64KB 内存。配套的 Bash 脚本（apachememload.sh 和...

POC_CVE-2024-40492

CVE-2024-40492：存储型XSS导致账户接管 描述 存储型跨站脚本（XSS）是一种常见于Web应用程序的安全漏洞。当攻击者能够将恶意脚本注入Web应用程序，并且这些脚本存储在服务器上时，就会发生这种情况。当其他用户访问包含恶意脚本的数据时，该脚本会在他们的浏览器中执行。 复现步骤 1. 访问 https://app.heartbeat.chat/ 2. 使用以下详细信息创建账户： 名字： giongfnef"test" 姓氏： giongfnef" 3. 进入“Threads”，然后搜索名字 giongfnef - XSS被触发 - 这是存储型XSS，可能导致账户接管 POC...

heartbleed

heartbleed 一个用Ruby编写的简单工具，用于测试您的服务器是否存在OpenSSL CVE-2014-0160漏洞。 声明 对于使用此工具可能造成的任何损害，本人概不负责。该工具旨在检查私有服务器的特定漏洞，并评估高流量下与用户相关的潜在数据泄漏。它作为内部安全审计工具进行分享。 依赖项 需要： Ruby Bundler 要安装这些先决条件，请首先为您的平台下载并安装Ruby。 然后，使用命令 gem install bundler 安装Bundler，并在项目根目录下运行 bundle install 获取项目依赖项。 使用方法 命令行用法为 ruby src/run.rb...

bleeding-heart

Heartbleed Heartbleed 漏洞 CVE-2014-0160 是 OpenSSL 库中的一个严重实现缺陷，攻击者可借此从受害服务器的内存中窃取数据。窃取的数据内容取决于服务器内存中已有的内容，可能包含私钥、TLS 会话密钥、用户名、密码、信用卡信息等。该漏洞存在于 SSL/TLS 用于保持连接活跃的心跳（Heartbeat）协议的实现中。 受影响的 OpenSSL 版本范围为 1.0.1 至 1.0.1f。Ubuntu 虚拟机中的版本为 1.0.1。 Heartbleed...

Heartbleed-PoC-Exploit-Script

Heartbleed-PoC-Exploit-Script 此 Python 概念验证（PoC）脚本通过执行带有心跳扩展的 TLS 握手并发送精心构造的心跳请求，检测 Heartbleed 漏洞（CVE-2014-0160）。它解析服务器响应以识别泄露的内存，帮助评估针对此关键 OpenSSL 漏洞的脆弱性。 关于 Heartbleed 是 OpenSSL 的 TLS 心跳扩展中的一个严重缓冲区过度读取漏洞，允许攻击者读取最多 64KB 的服务器内存，可能暴露私钥、密码和其他敏感数据。此脚本模拟一个心跳请求，若服务器存在漏洞，则会触发泄漏。 改进与修复 使用正确的结构体解包来解析 TLS...

CVE-2023-33246

CVE-2023-33246 Apache RocketMQ 远程代码执行漏洞CVE-2023-33246 Exploit 使用方法: java -jar CVE-2023-33246.jar -ip "127.0.0.1:10911" -cmd "open -a Calculator" 本工具的特点 由于心跳机制30s触发一次漏洞，所以工具延时35秒，保证命令被执行，随后再还原配置文件，所以该工具对漏洞进行利用的时候，并不会对环境产生影响！前提是你需要等待工具自然结束，而不是强制关闭它！ 免责声明:...

heartbleeder

Heartbleeder Prueba tus servidores para OpenSSL CVE-2014-0160 también conocido como Heartbleed. ADVERTENCIA : No se ofrecen garantías sobre la precisión de los resultados, y debes verificarlos de forma independiente comprobando tu compilación de OpenSSL. Pull requests welcome. Uso $ heartbleeder...

heartbleed-poc

HeartBleed 测试与利用工具 注意 目前几乎所有工具（nmap、metasploit、nessus，甚至burp）都已拥有最新版本的扫描器。这些工具是在早期工具仍在开发时发布的。现在请优先使用那些工具，而非这些。 工具指南 若要进行大规模扫描，目前NMAP脚本是最佳选择。 如需支持最多的协议（STARTTLS），请使用修改后的Metasploit脚本。 若要进行实际利用，请使用Python脚本（针对非SMTP的STARTTLS需要修改）。 Python 工具 用法: heartbleed-poc.py server options 测试SSL心跳漏洞 CVE-2014-0160...

heartbleed

HEARTBLEED：OpenSSL TLS 心脏出血漏洞 OpenSSL TLS 心跳扩展 - 内存泄露 - 多 SSL/TLS 版本漏洞扫描器与利用工具 需要： sudo apt-get install nmap lolcat Java sudo apt install default-jre default-jdk...

CVE-2014-0160

CVE-2014-0160 Heartbleed を使用して Web アプリのメモリを漏洩するためのラボ このリポジトリは、Heartbleed 手法を使用して nginx を簡単に悪用できる環境を作成するためのコンテナ構築に焦点を当てています。内容は以下の通りです: Docker を使用した環境構築 サーバーセットアップの図 デモ手順 サーバー図 CVE-2014-0160 の問題は、OpenSSL ライブラリが TLS ハートビート機能を提供する際に、バッファサイズが 64KB であるために余剰が生じ、サーバーメモリの機密情報が漏洩するというものです。 攻撃フロー ペイロード...

heartbleed-vulnerability-exploitation

heartbleed-vulnerability-exploitation Description hands on investigation of the Heartbleed vulnerability CVE-2014-0160. Summary this lab documents a hands-on investigation of the Heartbleed vulnerability, a critical flaw in OpenSSL's implementation of the TLS heartbeat extension. the goal was to...

heartbleed-lab

Heartbleed 实验室 用于研究 Heartbleed 漏洞的教育实验室 （CVE-2014-0160）通过 Docker 内真实的易受攻击 OpenSSL 环境进行实验。 本项目使用 OpenSSL 1.0.1f 复现了一个易受攻击的 TLS 服务器，并实现了一个自定义的原始 TLS 心跳客户端，用于演示畸形心跳数据包如何触发内存泄露。 该实验室专为教育和研究目的而创建，尤其适用于研究： TLS 记录帧结构 心跳扩展解析 内存泄露漏洞 解析器信任失败 跨协议的帧结构不一致 Heartbleed 与 HTTP 反同步漏洞之间的概念相似性 当前项目结构 heartbleed-lab/...

heartbleed-lab

heartbleed-lab 一个用于 CVE-2014-0160 Heartbleed 的小型、自包含实验环境 —— 即 OpenSSL 1.0.1–1.0.1f 中的 TLS 心跳 越界读取漏洞。它在一个一次性容器中，从固定校验和的上游源码构建真正存在漏洞的 OpenSSL， 将其作为服务运行，并包含一个概念验证客户端，可从其中泄露实时进程内存。 仅限授权实验环境使用。 此处所有内容均针对 localhost / 你自己运行的容器。 不要将 PoC 指向任何你不拥有且未获得明确测试许可的主机 —— 在大多数司法管辖区， 未经授权对在线系统使用 Heartbleed...