一个人免费视频观看在线www ,亚洲av永久无码精品秋霞电影影院 ,国产超碰人人爽人人做人人添

POODLE定義
POODLE攻擊是谷歌安全團隊在2014年10月14日發(fā)現(xiàn)的。這個漏洞利用的是SSLv3處理通過CBC運行模式使用的填充字節(jié)方式。
這個缺陷允許中間人攻擊者解密所選的且少到256個SSLv3連接的文本字節(jié)，前提條件是攻擊者強迫受害者應用程序反復通過新建的SSL 3.0連接發(fā)送相同的數(shù)據(jù) 。
POODLE自動化測試
POODLE的Nmap測試

POODLE的testssl.sh測試

手動測試POODLE
Openssl的Kali版本不再支持SSLv3 。通過testssl.sh/bin/openssl.Linux.x86_64中的二進制開展手動SSLv3測試。
./openssl.Linux.x86_64 s_client -ssl3-connect 10.0.1.159:443
如果握手完成，那么說明服務(wù)器易受POODLE攻擊。
如下所示，服務(wù)器易受POODLE攻擊（從響應剪切出的證書）

如果服務(wù)器不易受POODLE影響，那么握手會失敗并給出如下出錯信息：

CCS注入漏洞（CVE-2014-0224）
CCS注入定義
某些OpenSSL版本中存在一個弱點，能通過一個特別編制的握手數(shù)據(jù)包強迫客戶端和服務(wù)器使用弱密鑰內(nèi)容進行通信。中間人攻擊者能解密并修改客戶端和服務(wù)器之間的流量。
受影響的OpenSSL版本：
* OpenSSL before 0.9.8za
【無法安全地連接到此頁面 tls安全設(shè)置 tls安全設(shè)置】* OpenSSL 1.0.0 before 1.0.0m
* OpenSSL 1.0.1 before 1.0.1
來源： https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-0224
CCS注入自動化測試
CCS注入的testssl.sh 測試
./testssl.sh -I TARGET
CCS注入的Nmap 測試
nmap -p 443 –script=ssl-ccs-injectionTARGET
POODLE TLS(CVE-2014-8730)
POODLE TLS定義
由于TLS填充是SSLv3的一個子集，重新部署針對TLS的POODLE攻擊是有可能實現(xiàn)的。TLS對于其填充是如何格式化的要求很嚴格，然而，一些TLS實現(xiàn)并不會檢查解密之后的填充結(jié)構(gòu)，這樣即使有TLS也容易遭受POODLE攻擊。
來源：https://blog.qualys.com/ssllabs/2014/12/08/poodle-bites-tls
POODLE TLS測試
POODLETLS的testssl.sh 測試
同上述POODLE SSL部分。
OODLE TLS的Nmap P測試
同上述POODLE SSL部分。
BREACH (CVE-2013-3587)
BREACH攻擊定義
BREACH指"通過超文本自適應壓縮進行瀏覽器偵察和滲透"，它跟CRIME類似，攻擊者能利用HTTP壓縮中的一個漏洞來識別某個頁面中是否存在文本。
BREACH攻擊過程的基本示例
當頁面上發(fā)生文本重復時，deflate算法會刪除重復術(shù)語，從而縮減頁面大小 ?？赏ㄟ^這種方法識別現(xiàn)有的頁面內(nèi)容，下面是Web應用程序的一個示例，顯示當前登錄的用戶在頁面中反映的用戶名：
* 在搜索參數(shù)中輸入你認為不存在的一個用戶名
* 注意返回頁面的大小
* 為你認為存在的一個用戶名發(fā)送另外一個搜索請求
* 注意返回頁面的大小，如果用戶名跟登錄用戶匹配，那么deflate算法就會縮減頁面大小
實際上任何流量都未被"解密"，通過分析響應的規(guī)模，有可能會預測出文本。
BREACH攻擊要成功滲透數(shù)據(jù)，必須存在一種機制能夠在渲染頁面中反映用戶輸入且服務(wù)器必須支持HTTP壓縮。
自動化測試BREACH
BREACH的testssl.sh測試
./testssl.sh -T TARGET
手動測試BREACH
openssl s_client -connect TARGET:443