“心脏出血”漏洞一周年全球普查

概述

2014 年 04 月 07 日，开源安全组件 OpenSSL 爆出重大漏洞（CVE-2014-0160），可造成敏感信息泄露。

该漏洞是由 Codenomicon 和谷歌安全工程师独立发现，最终由程序员 Sean Cassidy 将详细利用机制发布出来。

其成因是 OpenSSL Heartbeat 模块存在一个 Bug，攻击者可以构造一个特殊的数据包获得存在该漏洞的服务器长达 64KB 的内存数据，而这段数据中可能包含用户的用户名、密码、密钥等敏感信息，因此该漏洞获得了一个名副其实的名字“心脏出血（OpenSSL Heartbleed）”漏洞。

ZoomEye 团队在“心脏出血”漏洞爆发一周年之际，对全网 IPv4 空间进行回归性普查，虽然受影响 IP 已经降低到了 1 年前的 14.6% ，但是仍然有较大量（377,221个）IP 的漏洞并未修复。

鉴于已经留给相关站点的安全工程师足够的修补时间，为了提高网络空间的安全防御能力，本报告后面会放出 1000 个受影响IP，希望能够唤起相关人员的安全意识。

回顾

“心脏出血”漏洞绝对称得上是互联网的史诗级漏洞，可以由以下数据进行说明：

1. 波及面最广，ZoomEye 团队分别对 HTTPS(443) 、IMAPS(993) 、 SMTPS(465) 、 POP3S(995) 进行全网扫描过程中，发现受影响IP数量为 2,590,351 个（此为针对 4 协议未去重 IP 总量，去重后总量为 2,433,550 个），其地理分布如下图：

图 1：2014 年“心脏出血”漏洞全球影响分布

按照受影响协议：

图 2： 2014 年“心脏出血”受影响协议比例

按照受影响国家/地区 TOP 25：

图 3： 2014 年受“心脏出血”影响的国家地区图

2. 影响厂商最多，受影响的 IP 中不乏 FaceBook、Yahoo!、淘宝、支付宝、京东等国内外知名网站，同时，大批网络设备诸如 Cisco 路由器，甚至 Juniper 防火墙、网御神州 VPN 网关等安全设备也纷纷上榜；

3. 响应最迅速， ZoomEye 对全网存在该漏洞 IP 进行持续关注，以 3 天为节点，发现全球平均修复率达到了惊人的 40% ，而我国的修复率仅为 18% ，全球排名仅为 102 名，基本垫底，需要努力提高；

图4：2014 年“心脏出血”漏洞三天内，周边和欧美20个国家/地区修复率

一周年数据分析

经过一年的攻防对抗，在“心脏出血”漏洞爆发一周年之际，ZoomEye团队对它进行了一次回归性普查扫描，新旧数据对比，得到了很多启示，具体数据如下：

1. 对全网 IPv4 空间 HTTPS(443) 、 IMAPS(993) 、 SMTPS(465) 、 POP3S(995) 进行扫描，发现受影响IP数量为 377,221 个，未修复率仅为一年前的 14.6% ，其地理分布如下：

图 5：2015 年“心脏出血”漏洞全球影响分布

按照受影响协议：

图 6： 2015 年“心脏出血”受影响协议比例

按照受影响国家/地区 TOP 25：

图 7： 2014 年受影响国家/地区

2. 进行部分抽样检测发现，FaceBook、Yahoo！、淘宝、支付宝、京东等国内外知名网站该漏洞修复比例很高，未发现相关漏洞站点。

3. 一周年持续响应速度:

图 8：2015 年部分国家一周年持续响应速度

总结

经过一周年前后，新旧数据对比分析，可以得到如下启示：

1. 全球修复效率较高，一年的时间，全球受影响IP数量仅为爆发时的 14.6% ；
2. 协议依赖性明显，受影响 IP 中， HTTPS（443）两次占比都超过 50% ；
3. 西方发达国家修复效率高于发展中国家，从前后两次“受影响国家/地区 TOP25 ”来看，由于西方发达国家 IP 资源比较丰富（如美国 IP 地址就占全球近 1/3 ），所以 14 年统计的 TOP25 ，较多来自西方发达国家；而经过一年的持续性修复，可以看到， 15 年统计的 TOP25 ，出现了较多的发展中国家（如中国、巴西、俄罗斯、印度等）；
4. 较大规模站点对安全更为重视，通过抽样检测，FaceBook、Yahoo！、淘宝、支付宝、京东等国内外知名网站未发现相关漏洞。
5. 我国持续响应能力依然需要努力提高，虽然从最初的 18% 的修复率，上升到了 59.9% ，但是对比于韩国（69.5%）、俄罗斯（78.0%）、香港（81.8%）、台湾（95.6%）以及日本（99.0%），网络空间的安全防御能力依然令人担忧。

【原文:“心脏出血”漏洞一周年全球普查 】

本文作者：SP小编

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/5886.html