Detección de sangrado cardíaco sin enviar un paquete de latido (específico del corazón)

0

Estoy intentando detectar si un servidor es vulnerable a Heartbleed. Para hacer esto, la única idea que tengo es enviar un paquete de latido que tenga un campo de longitud y una carga útil real que tenga una longitud diferente.

Pero como se trata de un paquete de software especialmente diseñado, los cortafuegos y los programas bloquean esta solicitud.

¿Hay alguna otra manera de verificar el corazón sangrado (o la versión de openssl)? Que yo sepa, la versión de openssl no es enviada por el servidor en ningún caso.

    
pregunta Ouney 29.02.2016 - 17:01
fuente

1 respuesta

1

Como ya notó, no hay forma de obtener la versión OpenSSL de forma confiable con solo mirar la respuesta de los servidores. Pero incluso si de alguna manera conociera la versión (como si se enviara en el encabezado del Servidor http), aún no sabe si el servidor está afectado por el error o no, ya que la mayoría de las distribuciones solo entregaron la corrección de errores a la versión OpenSSL que enviaron y no se actualizó a una versión más reciente.

En cuanto a otras formas de verificar el error: la única forma de comprobarlo es activarlo, lo que significa que debe enviar un paquete con la extensión de latido.

    
respondido por el Steffen Ullrich 29.02.2016 - 20:11
fuente

Lea otras preguntas en las etiquetas