☰

Wie installiere ich eine anfällige Version von OpenSSL auf einem Linux-Server?

tag-icon • tag-icon openssl heartbleed
Wie installiere ich eine anfällige Version von OpenSSL auf einem Linux-Server?

Ich möchte eine für Heartbleed anfällige OpenSSL-Version auf einem Server kompilieren und installieren, den ich für eine Team-Websicherheits-Challenge einrichte (da diese aus offensichtlichen Gründen nicht zur Installation im Ubuntu-Repository verfügbar sind).

Ich habe OpenSSL 1.0.1f heruntergeladen und aus dem Quellcode kompiliert. Dabei habe ich die bereitgestellten Anweisungen befolgt (ausführen ./config, dann makeund make install) und versucht, den frei verfügbaren Heartbleed POC auszuführen.von GitHubvon meinem PC aus, das Skript benachrichtigt mich jedoch, dass keine Heartbeat-Antwort empfangen wurde und der Server wahrscheinlich nicht anfällig ist.

Beim Ausführen openssl versionwird die folgende Ausgabe erzeugt:OpenSSL 1.0.1f 6. Januar 2014. Natürlich habe ich ein SSL-Zertifikat installiert und der SSL-Zugriff auf dem Server funktioniert.

OpenSSL wird für die Arbeit mit Apache 2.4.7 installiert.

Kann jemand helfen?

Antwort1

Hier können zwei Dinge vor sich gehen:

  1. Ein einfaches „./configure; make; make install“ platziert die gemeinsam genutzten Bibliotheken standardmäßig in /usr/local/lib. Die systeminstallierten Bibliotheken befinden sich jedoch in /usr/lib, das im Bibliothekssuchpfad früher steht. Sofern Sie die systeminstallierte Version von OpenSSL nicht entfernen, wird die anfällige Version nicht gefunden.

  2. Selbst wenn Sie die Systembibliotheken überschreiben, wird die Änderung erst nach einem Neustart von Apache übernommen. Gelöschte Dateien bleiben zugänglich (und belegen Speicherplatz auf der Festplatte), bis alle Programme, die offene Dateihandles für sie haben, diese Dateihandles schließen.

Antwort2

Welche Serversoftware wird verwendet?

Obwohl die OpenSSL-Binärdatei anfällig ist, verwendet ein installierter Webserver aus einem Betriebssystempaket wahrscheinlich eine Bibliotheksversion, die nicht anfällig ist.

Der einfachste Weg, einen anfälligen Listener zum Laufen zu bringen, ist openssl s_server: Wenn ein vollständiger Webserver anfällig sein muss, müssen Sie wahrscheinlich gegen das anfällige OpenSSL kompilieren.

verwandte Informationen