當用戶使用類似于Facebook或Gmail等用戶認為安全的網站發送信息時，對端計算機需要了解另一端的計算機是否仍然在線，所以他們會發出一個被稱為“心臟跳動”（Heartbeat） 的小型數據包，請求對方響應，如果另一端計算機也在線，他們就會使用內存中儲存的信息做出響應。通過向存在漏洞的目標發送畸形的Heartbeat請求，攻擊者能夠誘使對方使用內存中的敏感數據作出回應，從而獲得信用卡密碼，私人郵件等有價值的信息。
在程序代碼中引入Heartbleed的責任人是德國程序員Robin Seggelmann。2011年新年前夕，他向OpenSSL項目遞交了一系列漏洞修正和新增功能，其中一個補丁包含著未對長度變量進行驗證的漏洞。代碼審查者Stephen Henson在審查代碼時也沒有注意到這個錯誤，這個bug隨后就被包含在了新版OpenSSL中。
Google安全專家Neel Mehta于2014年4月3日率先提交了針對本漏洞的秘密報告。這個編號為CVE-2014-0160的漏洞隨后被提名命名為"HeartBleed"（心臟出血），喻指畸形的Heartbeat請求導致用戶隱私如血液般涌出。由于未確認心跳包長度與實際載荷長度匹配，因此當其處理畸形的心跳包時就會將心跳包后的內存區塊一同發送給對端，從而導致信息泄漏。該漏洞可以被用于讓每個心跳包顯示至多64千字節的應用程序內存內容。

總結

以上是生活随笔為你收集整理的OpenSSL心脏出血漏洞的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。