"心脏出血会接收什么类型的数据？"

Question

我在几台服务器上使用了Heartbleed的Python实现，得到了各种各样的响应数据。在

在收到的数据中，我看到：

- Cookies values (SESSIONID, etc)
- Random characters that make no sense
- HTML
- ...?

我知道我是一个脚本孩子，但不管怎样，我想知道这些数据来自哪里（RAM？）什么应用程序把数据放在那里（apache？openSSL？）希望能更全面地了解情况。在

有什么帮助吗？在

Answer 1

以下是Jacob最初发布在Superuser上的解释：

在为传输层安全（TLS）设置标准的RFC5246中，有一个称为心跳的函数。客户机和服务器来回发送一些数据以保持连接的有效性，以便以后使用。现在在实践中，客户机会发送一些数据，而服务器只会发送回来，一切都很好。但是，在受影响的OpenSSL版本中，没有检查客户机是否实际发送了它所发送的数据量。因此，如果我发送1B并告诉服务器我实际上发送了64kB，那么它会很高兴地将我发送回64kB。其他字节是从哪里来的？这就是钥匙。OpenSSL将把进程有权访问的64kB-1B内存发回给您，这取决于1B的存储位置。这些来自内存的额外字节是问题所在，因为它们可能包含有价值的信息，如私钥材料和服务器正在解密以使用的信息。例如：密码、信用卡信息和/或PIN。在