비박스(bWAPP) A6 Heartbleed Vulnerability

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다.
 

A6 - Heartbleed Vulnerability

 

하트블리드(Heartbleed)는 2014년 4월에 발견된 오픈 소스 암호화 라이브러리인 OpenSSL의 소프트웨어 버그입니다.

 

통신 구간 암호화를 위해 많이 사용하는 OpenSSL 라이브러리에서 서버에 저장된 중요 메모리 데이터가 노출되는 HeartBleed라고 명명된 심각한 버그입니다.

 

CVE-2014-0160

CVE-2014-0160

OpenSSL 암호화 라이브러리의 하트비트(Heartbeat)라는 확장 모듈에서 클라이언트 요청 메시지를 처리할 때 데이터 길이 검증을 수행하지 않아 시스템 메모리에 저장된 64KB 크기의 데이터를 외부에서 아무런 제한 없이 탈취할 수 있는 취약점
하트비트 : 클라이언트와 서버 간의 연결 상태 체크를 위한 OpenSSL 확장 모듈

 

공격 형태
CVE-2014-0160 취약점은 원격에서 발생 가능한 취약점으로, 공격자는 메시지 길이 정보가 변조된 HeartBeat Request 패킷을 취약한 OpenSSL 버전을  사용하는 서버에 전송할 경우, 정해진 버퍼 밖의 데이터를 공격자에게 전송하게 되어 시스템 메모리에 저장된 개인정보 및 인증 정보 등을 탈취할 수 있음

 

heartbleed.php

heartbleed.php 페이지는 하트블리드에 관한 취약점 페이지로 attack script를 눌러 파이썬 스크립트로 취약점 확인이 가능합니다.

 

Nmap을 통한 확인

nmap --script=ssl-heartbleed -p 8443 [IP]

 

파이썬

python [파일명.py] -p 8443 [IP]

 

참고

https://github.com/sensepost/heartbleed-poc

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160 

https://ko.wikipedia.org/wiki/%ED%95%98%ED%8A%B8%EB%B8%94%EB%A6%AC%EB%93%9C#cite_note-3

https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=20884