漏洞本質：OpenSSL心跳擴展緩衝區越界讀取

CVE-2014-0160影響OpenSSL 1.0.1至1.0.1f版本。攻擊者發送惡意心跳請求，可讀取服務器內存多達64KB敏感數據：私鑰、用戶名密碼、Session Cookie、信用卡號等。漏洞存在兩年才被披露，影響範圍覆蓋全球三分之二Web服務器（Apache/Nginx）。

服務端修復三步走

1. 升級OpenSSL：更新至1.0.1g或更高版本，或應用廠商提供的回港補丁；
2. 重新生成密鑰對：吊舊證書，申請新證書（私鑰可能已洩露）；
3. 撤銷舊證書：通知CA吊銷舊證書，防止中間人攻擊；
4. 重啟服務：確保所有進程加載新庫。

用戶端自救行動

• 待網站確認修復後，立即修改該站點密碼；
• 啟用雙因子認證（手機驗證碼/Google Authenticator/硬件密鑰）；
• 密碼使用期限不超過3個月，勿跨站複用；
• 漏洞修復前暫停網購/網銀操作。

重大平台響應速覽

支付寶、淘寶、微信、QQ、網易、12306等已完成修復。雅虎、Google、Facebook在披露當天即完成核心資產補丁部署。360網站衛士提供在線檢測工具：https://wangzhan.360.cn/heartbleed。