openssh漏洞上次是说linux中一个bug了,下文我给各位整理一下openssh漏洞修复方法,希望能对大家有帮助.
近期有几台主机上线,上线的主机在进行安全合规扫描时,发现如下openssh漏洞,其中有几个是陈年老漏洞,主要为CVE-2014-1692漏洞(openssh schnorr.c漏洞)为今天一月份的新漏洞,由于主机没有配置外网连接,而且针对suse和redhat不同的版本,所以使用用了源码包编译升级openssh版本的方式修复.
一、准备相关包
zlib-1.2.5.tar.bz2 openssl-1.0.1.tar.gz openssh-6.6p1.tar.gz 相关包已上传百度云盘上.
二、准备其他登录方式
由于其间有卸载ssh的操作,以免登录不上主机,可以选择先配置telnet或者vnc来进行远程操作,这里以telnet为例,如下:
# vim /etc/xinetd.d/telnet service telnet { socket_type = stream protocol = tcp wait = no user = root server = /usr/sbin/in.telnetd disable = yes } //phpfensi.com 注,如无telnet-server包,需要先安装该包后,再配置以上选项,配置完后,重启xinetd守护进程生效并查看是否有23端口的监听:
# service xinetd restart # netstat -tunlp 安全起见也可以考虑修改下telnet端口或通过iptables进行源地址指定.
三、程序升级
1、openssl 包的安装,代码如下:
# tar -zxvf openssl-1.0.1.tar.gz # cd openssl-1.0.1 # ./config -fPIC threads shared # make # make test # make install # mv /usr/bin/openssl /usr/bin/openssl.OFF # mv /usr/include/openssl /usr/include/openssl.OFF //该步骤可能提示无文件，忽略即可 # ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl # ln -s /usr/local/ssl/include/openssl /usr/include/openssl //移走原先系统自带的openssl，将自己编译产生的新文件进行链接 注:不能卸载原openssl包,否则会影响系统的ssl加密库文件,除非你可以做两个软连接libcryto和libssl.
配置文件搜索路径,代码如下:
# chmod 755 /usr/local/ssl/lib # echo "/usr/local/ssl/lib" >> /etc/ld.so.conf # /sbin/ldconfig -v # openssl version -a OpenSSL 1.0.1 14 Mar 2012 built on:Fri Mar 16 17:14:50 CST 2012 platform:linux-x86_64 options: bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx) compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM OPENSSLDIR: "/usr/local/ssl" 2、卸载原openssh包.
备份启动脚本:# cp /etc/init.d/sshd /root/
停止SSHD服务:# /sbin/service sshd stop
卸载系统里原有Openssh:
# rpm -qa|grep openssh //查询系统原安装的openssh包,全部卸载。 # rpm -e openssh --nodeps # rpm -e openssh-server --nodeps # rpm -e openssh-clients --nodeps # rpm -e openssh-askpass 或rpm -e --nodeps `rpm -qa |grep openssh` 3、解压安装zlib包,代码如下:
# tar －jxvf zlib-1.2.5.tar.bz2 //首先安装zlib库,否则会报zlib.c错误无法进行 # cd zlib-1.2.5 # ./configure # make&&make install 4、升级openssh包,先将将/etc/ssh的文件夹备份,代码如下:
# mv /etc/ssh /etc/ssh_bak # tar -zxvf openssh-6.6p1.tar.gz # ./configure --sysconfdir=/etc/ssh --with-ssl-dir=/usr/local/ssl --with-md5-passwords --mandir=/usr/share/man --with-pam # make # make install 编译过程中可能报如下错:
checking for EVP_sha256... yes checking whether OpenSSL has NID_X9_62_prime256v1... yes checking whether OpenSSL has NID_secp384r1... yes checking whether OpenSSL has NID_secp521r1... yes checking if OpenSSL's NID_secp521r1 is functional... yes checking for ia_openinfo in -liaf... no checking whether OpenSSL's PRNG is internally seeded... yes configure: error: PAM headers not found --phpfensi.com 如果报此错误需要安装相应版本的 pam-devel 包,安装完再重新编译即可.
5、启动openssh服务
编译安装好后,可以通过sshd -d 进行验证,如果没有报错就可以重新启用openssh了,代码如下:
# cp -p contrib/redhat/sshd.init /etc/init.d/sshd (suse: cp contrib/suse/rc.sshd /etc/init.d/sshd) # chmod +x /etc/init.d/sshd # chkconfig --add sshd # cp sshd_config /etc/ssh/sshd_config (如提示覆盖，yes回车) # cp sshd /usr/sbin/sshd (如提示覆盖，yes回车) (redhat:cp ssh-keygen /usr/bin/ssh-keygen) 通过下面的命令启动ssh服务,代码如下:
service sshd start 或 service sshd restart
注 :ssh -V //如果看到了新的版本号就没问题啦,如果没有ssh这条命令,执行(redhat、suse: ln -s /usr/local/bin/ssh /usr/bin/ssh).
查看更多关于linux中openssh漏洞修复步骤详解的详细内容...
声明：本文来自网络，不代表【好得很程序员自学网】立场，转载请注明出处：http://www.haodehen.cn/did21118