Ví dụ đơn giản nhất về việc làm thế

Ví dụ đơn giản nhất về việc làm thế nào một khách hàng có thể bị khai thác đó là thông qua một trình duyệt web có chứa lỗ hổng. Kẻ tấn công chỉ cần thuyết phục nạn nhân truy nhập vào một liên kết URL độc hại để cho phép máy chủ tấn công đạt quyền truy nhập vào bộ nhớ của trình duyệt web. Điều này khiến các nội dung đứng trước nguy cơ bị rò rỉ, như cookie của các phiên trước, các trang web đã xem, dữ liệu và những thông tin cá nhân người dùng đều có thể bị lộ.

Hầu hết các trang web phổ biến không sử dụng OpenSSL, và các thư viện dịch vụ bảo mật mạng (NSS libraries) là không có lỗ hổng bảo mật để Heartbleed có thể khai thác được. Tuy nhiên, nhiều dòng lệnh trên trình khách web có sử dụng OpenSSL (giả dụ dòng lệnh wget và curl) - đây chính là các lỗ hổng có thể bị tận dụng.

Kẻ tấn công cần phải lừa phỉnh người dùng truy nhập vào một trang web độc hại, rằng vào trang web đó có thể giúp họ loại bỏ một số rủi ro. Tuy nhiên, điều này không phải lúc nào cũng cần thiết. Thử tưởng tượng một dịch vụ dịch thuật trực tuyến mà ở đó người ta cung cấp dịch vụ tự động với đường liên kết URL tới một trang web tiếng Pháp và dịch vụ này sẽ tự động chuyển nội dung sang tiếng Anh.

Đằng sau đó, dịch vụ này sẽ lấy toàn bộ nội dung của trang web tiếng Pháp sử dụng trình khách phụ trợ riêng của nó. Nếu bạn cung cấp đường dẫn URL tới một máy chủ độc hại, trình khách phụ trợ này có thể bị khai thác và kẻ tấn công có thể lấy được những thông tin nhạy cảm, như mã nguồn và những thông tin truy nhập từ trang web dịch thuật này

Kết quả (Anh) 1:

The simplest example of how a client can be exploited is that through a web browser that contains the vulnerability. The attacker just needs to convince victims to access a malicious URL link to allow the server to attack reaching the access to the memory of your web browser. This makes the content before the risk of leaks, as the previous session cookies, the web page was viewed, data and user personal information can be divulged.Most popular sites not using OpenSSL, and the library network security services (NSS libraries) is no security vulnerability to Heartbleed can be exploited. However, many command line on the web client using OpenSSL (fake example command line wget and curl)-this is the flaw can be leverage.The attacker needs to trick the spoof the user access a malicious web page, that web page that can help them eliminate some risks. However, this is not always necessary. Try to imagine an online translation service in which they provide service automatically with URL link to a French site and this service will automatically move the content into English.Behind it, this service will retrieve the entire contents of the site using its own client. If you provide the URL to a malicious server, supporting client can be exploited and the attacker can obtain sensitive information, such as source code and the information accessible from the website translation

Kết quả (Anh) 2:

The simplest example of how a client can be exploited is through a Web browser that contains the vulnerability. The attacker only needs to convince the victim to access a malicious URL link to allow the server attack gain unauthorized access to the web browser's memory. This makes the content at risk of leaking, like cookies of the previous session, the pages viewed, the data and the personal information users may be exposed. Most popular sites do not use OpenSSL, and the library network security services (NSS libraries) is no security holes to exploit Heartbleed can. However, many commands on the web client using OpenSSL (assuming wget and curl command line) - this is the flaw could be salvaged. The attacker must fool the user access to a page Malicious web, on sites that can help them eliminate some risks. However, this is not always necessary. Imagine an online translation service in which one service provider automatically with URL links to a French website and the service will automatically convert the content into English. Behind it, This service will take the entire contents of the site in French using the client's own support it. If you provide the URL to a malicious server, the client backend can be exploited and the attacker can obtain sensitive information, such as source code and access information from the site translation