Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 19
А есть какие-нибудь ресурсы или скрипты, позволяющие быстро проверить целевой сервер на наличие уязвимости. Я понимаю, что такие вещи могут помочь и злоумышленникам, но получается так, что обычные пользователи не могут даже проконтролировать наличие уязвимости на тех ресурсах, которыми они пользуются. Это даже не страус и песок, а страус и бетонный пол.
Специально для тех, кто не умеет пользоваться поисковыми системами привожу топ выдачи по ссылке выше:
Heartbleed test (filippo)
heartbleed test (possible)
heartbleed test (McAfee)
Heartbleed checker (LastPass)
SSL Server Test (qualys)
Heartbleed Test (ssl-tools)
Heartbleed (filippo.io source)
Heartbleed test (filippo)
heartbleed test (possible)
heartbleed test (McAfee)
Heartbleed checker (LastPass)
SSL Server Test (qualys)
Heartbleed Test (ssl-tools)
Heartbleed (filippo.io source)
Самое удобное это расширения для chrome и firefox, предупреждающие при заходе на уязвимый сайт. Оба используют чекер filippo.io
Вот уязвимый демосервер, чтобы потестить.
Вот уязвимый демосервер, чтобы потестить.
Неплохо было-бы если Chrome, Firefox и др. не пускали на уязвимые сайты или как минимум выдавали «кричащую» надпись.
Тогда владельцы сайтов бы задумались почему к ним не ходят, да и сами бы не смогли зайти на свой сайт. :)
Тогда владельцы сайтов бы задумались почему к ним не ходят, да и сами бы не смогли зайти на свой сайт. :)
Извините, но это не повод перекладывать проблемы на пользователей.
Вопрос в правовом статусе проверки на уязвимость. Во многих странах это нельзя делать без согласия владельцев сайта.
Бред, это же не эксплуатация (считайте использование с целью наживы), а лишь предупреждение с целью предостережения.
Вот и я тоже думаю, что бред, однако для проверки на уязвимость нужно использовать эксплойт, а это много где запрещено само по себе. Производители браузеров не могут позволить себе в открытую нарушать закон.
Вот, например, цитата со страницы плагина для хрома:
Please note that, in some jurisdictions, site testing can only be carried out with the express permission of the site owner. Please check what the law says in your local area before proceeding to download this extension
Около 20% просканированных серверов поддерживают Heartbeat TLS Extension, это говорит о том, что до 75% уязвимых серверов было пропатчено в течении первых четырёх дней после обнаружения уязвимости, т.е. до моего первого сканирования.
Немного не понял суть предложения. Если на момент первого сканирования было 5% уязвимых, и из всех просканированных около 20% поддерживают heartbeat, то откуда цифра в 75%? Речь о (20-5)/20 чтоль?
Ведь определенное количество людей при исправлении не применяли патч, а перекомпилировали OpenSSL без поддержки Heartbeat, в том числе с мыслью параноиков «Ага, в этом апдейте еще где-то закладку сделали». В итоге реальные цифры пропатченных серверов могут сильно отличаться.
К этому могло добавиться давление со стороны начальства с требованием «не сидеть сложа руки», в результате проводилось обновление ПО вполне защищённых от напасти серверов до новой версии, которая на тот момент ещё не была исправлена самими разработчиками.
Почти моя ситуация. Только я сказал директору успокоится и ничего не делал :)
Вы извините, конечно, но перевод ужасен. Читайте, пожалуйста, свой текст несколько раз перед тем, как запостить.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Статус «Кровоточащего сердца»: обновление до «Разбитого»