利用泄露的SSL私钥 | AI生成和翻译

Home 2026.03

我会搜索关于攻击者如何利用泄露的 SSL certificates 以及这赋予他们什么能力的详细信息。问题：为什么攻击者能够利用像 360 Claw 门户事件这样的 compromised infrastructure 中泄露的 SSL private keys？

答案：

攻击者如何利用泄露的 SSL Private Keys

当 SSL private key 暴露时，它赋予攻击者强大的能力来破坏安全。下面是对攻击者可以做什么的详细解释：

1. 服务器伪装 (Man-in-the-Middle Attacks)

一旦攻击者拥有 private key，他们就可以伪装成合法服务器或用户，导致组织在不知情的情况下连接到恶意资源，同时由于呈现的合法凭证而误认为它们是可信实体。

2. 流量窃听

使用泄露的 wildcard certificate（它覆盖所有子域名），攻击者可以拦截并监控针对这些域名的所有通信，通过将流量重定向到他们控制的系统。用户认为自己正在连接到合法的加密站点，但实际上他们的流量正通过攻击者的基础设施流动，从而允许攻击者完全查看敏感数据。

3. 恶意软件分发和代码签名

一旦 private key 被 compromised，攻击者可以使用它来签名恶意代码，包括驱动程序、软件更新和恶意软件。这种伎俩允许恶意代码绕过安全过滤器和杀毒程序，因为浏览器和安全软件会将代码识别为来自可信实体的代码。

当 private key 被 compromised 并将 digital signature 应用于恶意软件时，它会欺骗浏览器过滤器和杀毒程序，这些程序通常会扫描下载内容。浏览器认为恶意可执行文件来自可信来源（在本例中为 360），并允许下载开始。

4. 凭证窃取

攻击者可以伪造登录页面并拦截通信，以窃取密码、认证令牌和其他敏感用户信息的。用户看到合法公司的 SSL certificate 指示器（挂锁图标），认为他们的连接是安全的，而实际上他们正在与攻击者通信。

5. 追溯解密

在暴露窗口期（从 key 泄露到 revocation 的时间）内拦截的任何加密流量，都可以被拥有 private key 的攻击者追溯解密并读取。这意味着即使过去看似安全的通信现在也被 compromised。

6. 账户 compromised 和横向移动

攻击者可以使用 compromised credentials 获得对系统的未授权访问，导致进一步的 breaches、数据窃取以及在网络基础设施中的横向移动。

为什么这如此危险

信任破坏

SSL/TLS certificates 是确保网站为其声称身份的机制。当 private key 被 compromised 时，整个信任链就会断裂，因为攻击者现在可以生成与合法证书无法区分的证书，并且浏览器会毫无警告地接受它们。

暴露窗口延长

与可以快速轮换的密码和 API tokens 不同，SSL certificates 和 private keys 嵌入在正式的信任链中，使得它们的 revocation 和 reissuance 成为一个复杂过程。这一特性延长了暴露窗口，允许攻击者隐秘操作，同时将恶意流量与合法通信混杂。

检测难度

用户无法轻易检测攻击，因为：

真实世界影响

历史先例显示了其严重性：

2010 年的 Stuxnet 蠕虫使用从 RealTek 和 JMicron 窃取的 certificates 进行签名，从而绕过安全过滤器。最近，恶意软件 Plead 使用属于 D-Link 的有效 digital certificates 进行签名，展示了 compromised keys 如何使恶意软件被安全系统信任。

总结

360 Claw SSL certificate 泄露是关键的，因为攻击者现在拥有解密过去通信、伪装所有 myclaw.360.cn 子域名、签名通过安全检查的恶意代码，以及针对信任 360 品牌的用户的复杂 phishing attacks 的数学能力。受害者无法通过正常手段保护自己，因为攻击者拥有由可信权威机构签名的有效、可信 certificate。

参考文献：

Back Donate