On 2014-04-24 09:38, Marco Ermini wrote:
[...]
2014-04-16 18:26 GMT+02:00 Fabio Panigatti wrote:
[...]
L'attacco non arriva ad HTTP, si ferma allo strato TLS: non c'è un
User-agent, non serve mettere in mezzo un WAF.

si.

[...]
Per "esploitare" Heartbleed, è necessario fare un handshake HTTP
completo (e pure più di uno, AFAIK).

no.

Per approfondimenti non filosofici, RTFS:
https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/scanner/ssl/openssl_heartbleed.rb


--

Gian
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List

Rispondere a