DDR爱好者之家

MySQL曝中间人攻击Riddle漏洞可致用户名密码泄露的处理方法
站长资源 2024/11/24 佚名
56 1538
DDR爱好者之家 Design By 杰米

针对MySQL 5.5和5.6版本的Riddle漏洞会经由中间人攻击泄露用户名密码信息。请尽快更新到5.7版本。

Riddle漏洞存在于DBMS Oracle MySQL中，攻击者可以利用漏洞和中间人身份窃取用户名和密码。

“Riddle是一个在Oracle MySQL 5.5和5.6客户端数据库中发现的高危安全漏洞。允许攻击者在中间人位置使用Riddle漏洞破坏MySQL客户端和服务器之间的SSL配置连接。”漏洞描述写道。“此漏洞是一个非常危险的漏洞，因为首先它会影响MySQL – 非常流行的SQL数据库 – 其次会影响SSL连接，根据SSL的定义，它理应是安全的。”

Riddle漏洞的编号为CVE-2017-3305，当MySQL 5.5和5.6向服务器发送数据，包括用户名密码时，攻击者可以捕获它们。

针对5.5.49、5.6.30版本的安全更新并没有完全修复漏洞。专家注意到，5.7版本之后以及MariaDB系统没有受到漏洞影响。

安全研究员Pali Rohár称，导致Riddle漏洞的原因是之前存在于MySQL数据库中的BACKRONYM漏洞没有被修复。Backronym漏洞能在中间人攻击时用来泄露密码，即使流量经过加密。

“针对稳定版本的MySQL 5.5.49和5.6.30的安全更新中添加了在验证过程完成后对安全参数的验证。”“由于动作是验证完成后做出的，因此利用Riddle进行中间攻击再与SSL降级配合，攻击者就可以窃取登录数据进行身份验证并登录到MySQL服务器，“Rohár写道。

“有趣的是，当MySQL服务器拒绝验证用户时，MySQL客户端不会报告任何与SSL相关的错误，而是会报告服务器发送的未加密的错误消息。而这些错误消息由中间人攻击者控制的。”

专家建议将客户端软件更新为MySQL 5.7或MariaDB，因为这些应用程序的安全更新是能够正常工作的。

PoC

作者给出了用Perl写的PoC脚本。它会在本地3307端口开启riddle，MySQL服务器运行在localhost:3306。

在中间人服务器运行riddle：

$ perl riddle.pl

将MySQL客户端与riddle连接：

$ mysql --ssl-mode=REQUIRED -h 127.0.0.1 -P 3307 -u user -p password

如果你提供了正确的用户名密码，riddle就会连接到服务器，执行SQL语句并输出：

SELECT COUNT(*) FROM information_schema.TABLES --> 121

MySQL客户端会收到一条由riddle发送的错误信息：

ERROR 1045 (28000): Access denied: MITM attack

Oracle修复漏洞不及时

Riddle漏洞在二月份被发现，但是这个漏洞仍然能够影响到Oracle MySql软件。

“如果你不是Oracle客户的话，向他们报告漏洞是没有用的（即使是与安全相关的漏洞）。他们可以完全忽视任何报告，如果没人知道的话，他们会很高兴，因此不用修复漏洞了，“Rohár解释说。

总结

以上所述是小编给大家介绍的MySQL曝中间人攻击Riddle漏洞可致用户名密码泄露的处理方法，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对网站的支持！

DDR爱好者之家 Design By 杰米
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
DDR爱好者之家 Design By 杰米
ddrfans.com DDR爱好者之家
8,675无损音乐
1,324高清电影
213破解软件
70,141收录资讯

《魔兽世界》大逃杀！60人新游玩模式《强袭风暴》3月21日上线

暴雪近日发布了《魔兽世界》10.2.6 更新内容，新游玩模式《强袭风暴》即将于3月21 日在亚服上线，届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。

艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕，并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时，他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中，玩家将会进入一个全新的海盗主题大逃杀式限时活动，其中包含极高的风险和史诗级的奖励。

《强袭风暴》不是普通的战场，作为一个独立于主游戏之外的活动，玩家可以用大逃杀的风格来体验《魔兽世界》，不分职业、不分装备（除了你在赛局中捡到的），光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式，玩家在加入海盗主题的预赛大厅区域前，可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹，《巨龙崛起》和《魔兽世界：巫妖王之怒 经典版》的玩家都可以获得奖励。

更新日志

友情链接

杰晶网络 DDR爱好者之家 南强小屋 黑松山资源网 白云城资源网
DDR爱好者之家 Design By 杰米