“心脏出血” 漏洞的危险性在于，它要比一般应用程序中的漏洞潜伏得更深，因为后者可以通过升级应用程序轻易地解决。
从Gmail和Facebook等网站传送安全信息的服务，均有可能会受到“心脏出血” 漏洞的影响。
“心脏出血” 漏洞影响到了各种版本的OpenSSL——支持大多数网络服务的通行数据加密标准。这个漏洞最初是由安全公司Codenomicon的团队和谷歌的安全官员尼尔-梅赫塔(Neel Mehta)发现的。
OpenSSL已发布了紧急更新程序，但是我们仍有必要采取额外的措施来确保你的个人数据安全。
保护自己不受“心脏出血” 漏洞影响的最佳方式是：你不仅要更新你的密码，而且要确保你选择的密码不被轻易地pj。下面的一些技巧可以帮你打造可靠的、不会轻易被别人蒙对的超强密码。
1. 确保你的密码足够长。
你的密码中的字母越多，你的密码就越不容易被别人猜到。谷歌和微软均认为，密码越长越安全。微软建议，你的密码长度至少要达到8个字母。大多数网站对于密码设置也有最低字母数量要求，这样可以有效地防止你使用极易被人猜出的4个字母的密码。
2. 尽量让密码字母随机排列。
如果你使用的密码是一个常见的单词或短语，那么你的这个密码再长也没有效，因为它还是很容易被人猜出。你最好使用一些随机的字母组合，包括各种字母、数字和符号。不要用你的姓名或公司名称作为你的密码，也不要用某个单词来充当密码。你的密码应该包含一系列大写和小写字母、数字和符号。
3. 用错误的拼写取代正确拼写的单词。
如果你准备在密码中使用单词或短语，那么故意使用错误的拼写也是防止密码被别人猜对的好办法。你可以用符号和数字来取代字母。例如，如果你想要在密码中使用“I love soccer”这句话，那么你可以将它改写为“1LuvSoCC3r!1”，这样可以让它变得更安全。
4. 同一个密码不要应用于多个账户。
你千万不要将同一个密码应用到你的所有账户中。否则，如果攻击者发现了你的一个密码，那么他们就可能会访问你所有的个人页面和账户。你还应该确保每个密码都不同于你以前设置的密码或其他现有的密码。
5. 避免出现弱智的密码。
如果你仍然不确定超强密码与弱智密码之间的差别，那么这些密码你千万不要使用：abc1234、password、admin、iloveyou和aaaaaa。在去年12月Adobe的系统遭受黑客攻击时，被pj的都是类似这些简单低级的密码。
6. 通过造句来编写密码。
编写超强密码的另一个好办法就是想出一句你很容易记住的句子，然后进行改写。例如，你造了一个句子“My favorite animal is the koala bear”。现在，你可以取用该句子中每个单词的首字母，然后添加某些标点符号，并用数字替代其中的某些字母。那么，这句话就变成了这样的密码mFA1tkB!。
7.利用应用程序和工具来创造和管理密码。
有时候，即使遵照上面列出的小技巧，你也很难想出你能牢记的安全密码。幸运的是，我们有一些值得信赖的应用程序和服务可以帮助你解决这个问题。
例如，LastPass可以将你所有的重要密码保存在一个安全的地方，并进行统一管理。这款应用程序会加密你的数据和密码列表，防止别人看到它们。而且，它还有两步认证的方法供你选择：它包含有一个密码生成器，可以创造随机的、别人几乎不可能猜到的密码。免费桌面版LastPass会在你登录新网站的时候将密码保存在LastPass上。但是，你需要通过高级预订服务(每年12美元)才能使用移动版LastPass。
而且，LastPass还有一个很实用的工具，它能够告诉你你正在使用的网站是否受到了Heartbleed漏洞的影响。
1Password应用程序是增强你的密码安全性的又一个选择。这款应用程序的售价为17.99美元，它提供的很多功能均类似于LastPass，包括密码生成器和安全加密法。它还有一个浏览器插件可以与你的桌面保持同步。
心脏滴血漏是Linux漏洞吗
OpenSSL1.0.1版本
Heartbleed漏洞是由于未能在memcpy()调用受害用户输入内容作为长度参数之前正确进行边界检查。攻击者可以追踪OpenSSL所分配的64KB缓存、将超出必要范围的字节信息复制到缓存当中再返回缓存内容，这样一来受害者的内存内容就会以每次64KB的速度进行泄露。
如同漏洞成因所讲，我们可以通过该漏洞读取每次攻击泄露出来的信息，所以可能也可以获取到服务器的私钥，用户cookie和密码等。
环境：
靶机：Vulhub环境 攻击机：kali Linux
这里使用的是Vulhub一键搭建漏洞测试靶场
https://vulhub.org/#/environments/openssl/heartbleed/
访问看一下
先使用nmap扫描端口
可以使用nmap自带的Heartbleed漏洞检测脚本
nmap -sV -p 443 --script ssl-heartbleed.nse 【目标IP】
msf利用
1.搜索Heartbleed模块：
2.引用第一个选项，show options查看需要设置的参数
set rhosts 【ip】
set rport 【端口】
set verbose true 设置verbose不然显示不出信息
抓取的数据有点乱，可以使用脚本抓取我们想要的
1.将受影响的服务器下线，避免它继续泄露敏感信息。
2.停止旧版的 openssl 服务，升级 openssl 到新版本，并重新启动。
3.生成新密钥。（因为攻击者可能通过漏洞获取私钥。）将新密钥提交给你的CA，获得新的认证之后在服务器上安装新密钥。
4.服务器上线。
5.撤销旧认证。
6.撤销现有的会话cookies。
7.要求用户修改密码。
HTTPS 和 OpenSSL 是什么关系
首先，您问的应该是心脏出血漏洞吧。
该漏洞在互联网又称为“heartbleed bug”，中文名称叫做“心脏出血”、““击穿心脏””等。
受影响：
OpenSSL 1.0.2-beta
OpenSSL 1.0.1 - OpenSSL 1.0.1f
除非针对CVE-2014-0160的操作系统补丁已经安装，而没有更改库版本，如Debian、Red Hat Enterprise Linux（及其派生版，如CentOS、Amazon Linux）或Ubuntu（及其派生版，如Linux Mint）。
Linux系统也是会受影响的。
14年全球有哪些网络被攻击的案例
HTTPS与OpenSSL就是iPhone与富士康的关系。
HTTPS是一种协议，等于HTTP+TLS（由于历史原因，SSL3.0之后就被TLS1.0替代了）。
openssl是一套开源工具集，主要有两个特性：
实现了ssl2,ssl3，TLSv1，TLSv1.1，TLSv1.2协议。
实现目前常用的加密算法。
没有一个非常精准的方法来判断HTTPS是否使用openssl，但是根据网站返回的server类型，可以大致估计是否使用了openssl，比如如果使用apache或者nginx，那么肯定是使用了openssl。保守估计至少70%以上的网站是使用openssl的。而windows系列的服务器包括IIS，windows server等都是使用schannel，没有使用openssl，不会受heartbleed影响。
事件一、1•21中国互联网DNS大劫难
2014年1月21日下午3点10分左右，国内通用顶级域的根服务器忽然出现异常，导致众多知名网站出现DNS解析故障，用户无法正常访问。虽然国内访问根服务器很快恢复，但由于DNS缓存问题，部分地区用户“断网”现象仍持续了数个小时，至少有2/3的国内网站受到影响。微博调查显示，“1•21全国DNS大劫难”影响空前。事故发生期间，超过85%的用户遭遇了DNS故障，引发网速变慢和打不开网站的情况。
事件二、比特币交易站受攻击破产
2014年2月，全球最大的比特币交易平台Mt.Gox由于交易系统出现漏洞，75万个比特币以及Mt.Gox自身账号中约10万个比特币被窃，损失估计达到4.67亿美元，被迫宣布破产。这一事件凸显了互联网金融在网络安全威胁面前的脆弱性。
事件三、携程漏洞事件
2014年3月22日，有安全研究人员在第三方漏洞收集平台上报了一个题目为“携程安全支付日志可遍历下载导致大量用户银行卡信息泄露（包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin）”的漏洞。上报材料指出携程安全支付日志可遍历下载，导致大量用户银行卡信息泄露，并称已将细节通知厂商并且等待厂商处理中。一石激起千层浪，该漏洞立即引发了关于“电商网站存储用户信用卡等敏感信息，并存在泄漏风险”等问题的热议。
事件四、XP系统停止服务
微软公司在2014年4月8日后对XP系统停止更新维护的服务。但XP仍然是当今世界被广泛使用的操作系统之一。特别是在中国，仍有63.7%的用户，也就是大约3亿左右的用户还在使用XP系统。因此“后XP时代”的信息安全一直备受关注，但国内安全厂商推出的防护软件究竟效果如何，面对市场上如此多的安全防护软件，选哪个又是一个疑问，所以xp挑战赛应运而生。在2014年4月5日的XP挑战赛中，腾讯、金山落败360坚守成功。
事件五、OpenSSL心脏出血漏洞
2014年4月爆出了Heartbleed漏洞，该漏洞是近年来影响范围最广的高危漏洞，涉及各大网银、门户网站等。该漏洞可被用于窃取服务器敏感信息，实时抓取用户的账号密码。从该漏洞被公开到漏洞被修复的这段时间内，已经有黑客利用OpenSSL漏洞发动了大量攻击，有些网站用户信息或许已经被黑客非法获取。未来一段时间内，黑客可能会利用获取到的这些用户信息，在互联网上再次进行其他形式的恶意攻击，针对用户的“次生危害”（如网络诈骗等）会大量集中显现。即使是在今后十年中，预计仍会在成千上万台服务器上发现这一漏洞，甚至包括一些非常重要的服务器。
事件六、中国快递1400万信息泄露
2014年4月，国内某黑客对国内两个大型物流公司的内部系统发起网络攻击，非法获取快递用户个人信息1400多万条，并出售给不法分子。而有趣的是，该黑客贩卖这些信息仅获利1000元。根据媒体报道，该黑客仅是一名22岁的大学生，正在某大学计算机专业读大学二年级。
事件七、eBay数据的大泄漏
2014年5月22日，eBay要求近1.28亿活跃用户全部重新设置密码，此前这家零售网站透露黑客能从该网站获取密码、电话号码、地址及其他个人数据。该公司表示，黑客网络攻击得手的eBay数据库不包含客户任何财务信息——比如信用卡号码之类的信息。eBay表示该公司会就重设密码一事联系用户以解决这次危机。这次泄密事件发生在今年2月底和3月初，eBay是在5月初才发现这一泄密事件，并未说明有多少用户受到此次事件的影响。
事件八、BadUSB漏洞
2014年8月，在美国黑帽大会上，JakobLell和KarstenNohl公布了BadUSB漏洞。攻击者利用该漏洞将恶意代码存放在USB设备控制器的固件存储区，而不是存放在其它可以通过USB接口进行读取的存储区域。这样，杀毒软件或者普通的格式化操作是清除不掉该代码的，从而使USB设备在接入PC等设备时，可以欺骗PC的操作系统，从而达到某些目的。
事件九、Shellshock漏洞
2014年9月25日，US-CERT公布了一个严重的Bash安全漏洞(CVE-2014 -6271) 。由于Bash是Linux用户广泛使用的一款用于控制命令提示符工具，从而导致该漏洞影响范围甚广。安全专家表示，由于并非所有运行Bash的电脑都存在漏洞，所以受影响的系统数量或许不及“心脏流血”。不过，Shellshock本身的破坏力却更大，因为黑客可以借此完全控制被感染的机器，不仅能破坏数据，甚至会关闭网络，或对网站发起攻击。
事件十、500万谷歌账户信息被泄露
2014年9月，大约有500万谷歌的账户和密码的数据库被泄露给一家俄罗斯互联网网络安全论坛。这些用户大多使用了Gmail邮件服务和美国互联网巨头的其他产品。据俄罗斯一个受欢迎的IT新闻网站CNews报道，论坛用户tvskit声称60%的密码是有效的，一些用户也确认在数据库里发现他们的数据。
事件十一、飓风熊猫本地提权工具
2014年10月，CrowdStrike发现飓风熊猫这个本地提权工具，飓风熊猫是主要针对基础设施公司的先进攻击者。国外专业人士还表示，该攻击代码写的非常好，成功率为100％。我们知道飓风熊猫使用的是“ChinaChopper”Webshell，而一旦上传这一Webshell，操作者就可试图提升权限，然后通过各种密码pj工具获得目标访问的合法凭证。该本地提权工具影响了所有的Windows版本，包括Windows7和WindowsServer 2008 R2 及以下版本。
事件十二、赛门铁克揭秘间谍工具regin
2014年11月24日，赛门铁克发布的一份报告称，该公司发现了一款名为“regin”的先进隐形恶意软件。这是一款先进的间谍软件，被称为史上最为复杂的后门木马恶意软件。该软件被用于监视政府机关、基础设施运营商、企业、研究机构甚至针对个人的间谍活动中。
事件十三、索尼影业公司被黑客攻击
2014年12月，索尼影业公司被黑客攻击。黑客对索尼影业公司发动的这次攻击影响令人感到震惊：摄制计划、明星隐私、未发表的剧本等敏感数据都被黑客窃取，并逐步公布在网络上，甚至包括到索尼影业员工的个人信息。预计索尼影业损失高达1亿美元，仅次于2011年被黑客攻击的损失。
事件十四、12306用户数据泄露含身份证及密码信息
2014年12月25日，乌云漏洞报告平台报告称，大量12306用户数据在互联网疯传，内容包括用户帐号、明文密码、身份证号码、手机号码和电子邮箱等。这次事件是黑客首先通过收集互联网某游戏网站以及其他多个网站泄露的用户名和密码信息，然后通过撞库的方式利用12306的安全机制的缺欠来获取了这13万多条用户数据。同时360互联网安全中心就此呼吁，12306用户尽快修改密码，避免已经订到的火车票被恶意退票。另外如果有其他重要帐号使用了和12306相同的注册邮箱和密码，也应尽快修改密码，以免遭遇盗号风险。
以上就是关于心脏出血漏洞怎么办全部的内容，如果了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！
更多相关资讯
