_ 連休

長期間居ない人のキーボードに種を植えて草はやすツイートｗｗｗ

オレのキーボードに種撒くなよ？*1

_ HeartBleed

デモ環境できた。

portsからApacheを入れてる環境に脆弱なOpenSSLを手動でmakeして放り込むの( ﾟДﾟ)ﾏﾝﾄﾞｸｾｰ。

結局素でApacheをソースから入れた方が早かった。

で、POCのpythonで64KBずつ読みながら、SSLで投げたリクエストの内容を探す。

これ、結構タイミング難しいな。

「wait無しのwhileで回してログに吐く→grepで探す」

が簡単っぽい。

事前にページを取得してあればPOSTするパラメータ名も分かると言う前提で。

この時に、access_logとかをtailしておくと「ほら、ログに出ないでしょ？」もできる。