|
在项目中，我们经常会发现Linux系统中Open SSH、Open SSL存在高危漏洞，如OpenSSL“心脏出血”漏洞，利用该漏洞，黑客可以获取约30%的https开头网址的用户登录账号密码，其中包括购物、网银、社交、门户等类型的知名网站等。 以及OpenSSH漏洞，如“OpenSSH远程代码执行漏洞CVE-2016-10009”， sshd服务可以利用转发的agent-socket文件，欺骗本机的ssh-agent来加载一个恶意的PKCS#11模块，从而可以远程执行代码，黑客利用漏洞实现远程命令执行，严重情况下可能会导致数据泄露。 我们一般通过升级openssh和openssl来解决系统中存在的相关高危漏洞。
升级说明
openSSL升级至openssl 1.1.1k版本 openssl version -a #当前查看版本 openssl下载地址：https://ftp.openssl.org/source/
openSSH升级至openssh 8.6版本 ssh -V #当前查看版本 openssh下载地址：https://ftp.riken.jp/pub/OpenBSD/OpenSSH/portable/ ，以 p1.tar.gz结尾的即可，选择自己想要的版本
一、安装telnet （以防升级失败，连不上服务器，建议弄）
# 查看是否安装telnet服务
rpm -qa | grep telnet
rpm -qa | grep xinetd
# 若无安装，yum安装
yum -y install telnet*
yum -y install xinetd
#将服务开机自启（此处根据自身情况考虑）
systemctl enable xinetd.service
systemctl enable telnet.socket
#开启服务
systemctl start telnet.socket
systemctl start xinetd
#安装好后，更改配置文件，允许telnet远程连接，Linux7中可能不需要：
vi /etc/xinetd.d/telnet
将disable = yes改为 disable = no，退出保存。
vi /etc/securetty
#在最后添加两行
pts/0
pts/1
systemctl restart xinetd
netstat -plnt |grep 23 # 确认下是否启动成功
二、升级OpenSSl
1、查看原版本
openssl version -a
2、安装依赖包
#安装openssl 依赖包
yum -y install perl gcc gcc-c++ glibc make zlib
3、解压安装
#我们将ssl安装在/usr/local/openssl目录下
tar -zxvf openssl-1.1.1k.tar
cd openssl-1.1.1k
./config --prefix=/usr/local/openssl
#检查环境
./config -t
make #编译
make install #编译安装
4、修改配置
#更新函数库
cd /usr/local
ldd /usr/local/openssl/bin/openssl #检查函数库
echo "/usr/local/openssl/lib" >> /etc/ld.so.conf #添加所缺函数库
ldconfig -v #更新函数库
openssl/bin/openssl version #查看新安装的版本
#移出旧版本
which openssl #查看旧版本openssl命令在哪里
mv /usr/bin/openssl /usr/bin/openssl.old #将旧版本openssl移除
ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl #新版本制作软链接
openssl version 最后查看版本，更新完毕
在确保Openssl版本为1.0.1后，可以升级Openssh了，升级方法如下。
三、升级openssh
1、解压，安装依赖包
ssh -V #查看ssh版本
#解压：
tar -zxvf openssh-8.6p1.tar
#安装依赖包
yum -y install openssl-devel pam-devel
2、移除旧版本
#可以提前备份一下：
cp /usr/sbin/sshd /usr/sbin/sshd.bak
cp /etc/ssh/ssh_config /etc/ssh/ssh_config.bak
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
cp /etc/ssh/moduli /etc/ssh/moduli.bak
cp /etc/pam.d/sshd /etc/pam.d/sshd.bak
mv /etc/ssh /etc/ssh.old
### 需要注意，移除之后，不能退出当前终端，若退出就无法ssh连接了，只能通过telnet连了。
3、编译安装
cd openssh-8.6p1/
# 配置安装目录为/usr/local/openssh
./configure --prefix=/usr/local/openssh --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl --with-md5-passwords --mandir=/usr/share/man --with-zlib=/usr/local/zlib --without-hardening
或者
--without-openssl-header-check
报错1：
在安装的过程中如遇到以下错误，请安装：yum -y install openssl-devel
报错2：configure: error: PAM headers not found
请安装 yum -y install pam-devel
我升级的时候只遇到这两个错，如遇到别的错，请自行解决。
然后编译安装
make && make install
4、修改启动脚本
# 拷贝启动脚本
cd openssh-8.6p1/
cp ./contrib/redhat/sshd.init /etc/init.d/sshd
# 修改启动脚本
vi /etc/init.d/sshd
# 按如下图修改,需要注意，此路径是你安装新版本的openssh路径，根据你的实际情况修改
SSHD=/usr/local/openssh/sbin/sshd
### 注意根据自身情况修改路径
/usr/local/openssh/bin/ssh-keygen –A
/sbin/restorecon /etc/ssh/ssh_host_key.pub
/sbin/restorecon /etc/ssh/ssh_host_rsa_key.pub
/sbin/restorecon /etc/ssh/ssh_host_dsa_key.pub
/sbin/restorecon /etc/ssh/ssh_host_ecdsa_key.pub
start()
{
#Create keys if necessary
/usr/local/openssl/bin/ssh-keygen -A
if [ -x /sbin/restorecon ]; then
/sbin/restorecon /etc/ssh/ssh_host_key.pub
/sbin/restorecon /etc/ssh/ssh_host_rsa_key.pub
/sbin/restorecon /etc/ssh/ssh_host_dsa_key.pub
/sbin/restorecon /etc/ssh/ssh_host_ecdsa_key.pub
fi
5、修改sshd配置文件/etc/ssh/sshd_config
chkconfig --add sshd
cp /usr/local/openssh/etc/sshd_config /etc/ssh/sshd_config
cp /usr/local/openssh/sbin/sshd /usr/sbin/sshd
cp /usr/local/openssh/bin/ssh /usr/bin/ssh
cp /usr/local/openssh/bin/ssh-keygen /usr/bin/ssh-keygen
cp /usr/local/openssh/etc/ssh_host_ecdsa_key.pub /etc/ssh/ssh_host_ecdsa_key.pub
echo "PermitRootLogin yes" >> /etc/ssh/sshd_config #直接用root登录终端（此处根据自身情况考虑）
echo "PasswordAuthentication yes" >> /etc/ssh/sshd_config #是否允许密码验证
echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config #允许pubKey（id_rsa.pub）登录
echo 'X11Forwarding yes' >> /etc/ssh/sshd_config #设置是否允许X11转发
或者：vi /etc/sshd_config
# 在末尾加入账号远程配置, 输入 :wq 保存退出
PermitRootLogin yes
PubkeyAuthentication yes
PasswordAuthentication yes
X11Forwarding yes
6、卸载原有ssh（先安装后卸载，也是怕升级失败，如果有把握，可先卸载）
for i in $(rpm -qa |grep openssh);do rpm -e $i --nodeps ;done
提示警告：
将警告中被修改的文件名字再改回来
mv /etc/ssh/sshd_config.rpmsave /etc/ssh/sshd_config
mv /etc/ssh/ssh_config.rpmsave /etc/ssh/ssh_config
mv /etc/ssh/moduli.rpmsave /etc/ssh/moduli
7、替换相关命令，并重启sshd服务
cp -arp /usr/local/openssh/bin/* /usr/bin/ #替换相关命令
service sshd restart #重启sshd服务
chkconfig --add sshd
chkconfig sshd on
# 验证升级、让其他人测试连接后再退出
ssh -V 和 telnet 验证
8、设置开机自启
chkconfig --add sshd
chkconfig --level 2345 sshd on
chkconfig --list
升级完成后，为了安全起见，建议关闭telnet
#关闭服务（此处根据自身情况考虑）
systemctl stop telnet.socket
systemctl stop xinetd
#关闭服务开机自启（此处根据自身情况考虑）
systemctl disable xinetd.service
systemctl disable telnet.socket
|