衣服自己洗

今天衣服自己洗在对网站的SSL证书续费的时候，发现网站提供了一个安全工具，顺便就用了一下，发现有个SSL 3的信息泄漏漏洞。

攻击者如何利用此漏洞？

在人为干预 (MITM) 攻击中，攻击者可能使加密的 TLS 会话降低，强制客户端使用 SSL 3.0，然后强制浏览器执行恶意代码。此代码向目标 HTTPS 网站发送许多请求，其中如果存在以前经过身份验证的会话，则会自动发送 Cookie。这是要利用此漏洞所必需的条件。攻击者然后可以截取此 HTTPS 通信，并通过利用 SSL 3.0 中 CBC 分组密码的漏洞，可以对加密通信的某些部分（例如身份验证 Cookie）进行解密。
攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以对加密通信的某些部分进行解密。
造成此漏洞的原因是什么？
SSL 3.0 中使用的 CBC 加密算法存在漏洞。

在windows server服务器中，基本上都使用的是IIS，而要修复该漏洞的话，需要从注册表入手。修复方式如下：

打开服务器注册表编辑器，找到路径 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols

在下面新建一个 SSL 3.0的项，然后在右边新建一个Dword 格式的键值，名称为Enabled,值为0.

重启服务器即可。

而在微软官方的文档中，Enabled 居然被翻译成中文，导致无法生效。