华夏名网遭心血漏洞攻击用户隐私泄露

　　(华夏名网官网公告截图)

　　华夏名网称，在最近几天内该公司发现有用户域名被恶意解析到境外网站，导致用户网站被劫持。该公司技术人员分析系统日志，发现导致漏洞的原因可能是该公司4月7日升级openssl版本修复“心血漏洞”，但并未对nginx和apache服务进行重启导致的。由于该漏洞第二天中午及时得到修复，只有少量用户隐私泄露，并未涉及到大量用户数据被盗。该公司建议用户在4月7日晚上到8日中午之前登陆过华夏名网平台的用户尽快及时修改密码。

　　大多数的SSL加密网站都基于名为OpenSSL的开源软件包。4月7日研究人员公布该软件存在一个会致使用户通讯内容泄露的严重漏洞。具体来说，SSL标准包含heartbeat选项，让SSL连接一端的计算机发出短信息来确认另一台计算机仍处于联网状态并获得回复。研究人员发现，存在发送伪装的恶意heartbeat信息诱使SSL连接另一端的计算机泄露秘密信息的的可能性。也就是说计算机会被诱使传输服务器内存中的内容。OpenSSL此漏洞在黑客社区中被命名为“心脏出血”漏洞，堪称网络核弹，网银、网购、网上支付、邮箱等众多网站受其影响。无论用户电脑多么安全，只要网站使用了存在漏洞的OpenSSL版本，用户登录该网站时就可能被黑客实时监控到登录账号和密码。

　　附华夏名网官网公告原文内容：

　　SSL心血漏洞导致用户账号泄露

　　我公司(华夏名网)确认openssl心血(HeartBleed) 漏洞影响到我公司一部分客户的账号。

　　最近几天我们发现有个别用户的域名被恶意指向到其他境外网站,分析用户操作日志发现，这几个用户账号都是于2014年4月8日上午登陆过我公司网站。根据我们对当时情况的分析，导致漏洞的原因可能是我公司于4月7日升级了openssl版本，修补了心血漏洞，但未对ngxin和apache进行重新启动，导致心血漏持续到了4月8日。 因为黑客对心血漏洞随机抓取内存也并非每次都能得手，评估漏洞对用户账户的影响，我们认为涉及到的用户数量不多。此次事件虽然影响面不大，但本着对用户负责的态度，我们还是请4月7日晚上和4月8日中午之前登陆过我公司平台(www.sudu.cn)的用户修改密码。

　　对于使用我公司服务器/vps/云服务器的用户，如果使用ssl对网站进行传输加密，有50%的可能受心血(HeartBleed)漏洞的影响，请通过以下方式及时修补。

　　1.首先用以下网站检测网站是否有漏洞：

　　http://wangzhan.360.cn/heartbleed

　　2.然后将openssl升级到1.0.1g方法如下

　　Debian/Ubuntu：

　　# apt-get update

　　# apt-get install openssl libssl1.0.0

　　CentOS/Redhat/Fedora:

　　# yum update openssl

　　3.最重要的还有重启nginx/apache 服务，否则补丁不会生效。

　　# /etc/init.d/apache2 restart

　　# /etc/init.d/ngnix restart

　　# /etc/init.d/httpd restart

　　华夏名网

　　2014年4月18日