精华内容
下载资源
问答
  • Linux OpenSSH漏洞修复

    万次阅读 2019-08-22 09:19:34
    0X00 Linux漏洞起因 Linux的漏洞大多数存在于应用软件中,在软件设计之初和编写代码的过程中可能存在一些当时没有发现的漏洞,在软件发布一段时间后被测试出来存在问题,软件厂商必然会修补这些问题然后重新发布。...

    0X00 Linux漏洞起因

    Linux的漏洞大多数存在于应用软件中,在软件设计之初和编写代码的过程中可能存在一些当时没有发现的漏洞,在软件发布一段时间后被测试出来存在问题,软件厂商必然会修补这些问题然后重新发布。如果服务器未及时升级软件或打相应的补丁,可能会被漏扫设备扫描出一些软件漏洞。

    0X01漏洞修复

    漏洞:OpenSSH 安全限制绕过漏洞(CVE-2016-10012)
    Openssh MaxAuthTries限制绕过漏洞(CVE-2015-5600)
    漏洞原因:OpenSSH版本过低,需升级到最新版

    系统:Centos7

    查看OpenSSH版本:

    [root@localhost /]# ssh -V
    OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017
    
    [root@localhost /]# rpm -qa | grep openssh
    openssh-7.4p1-16.el7.x86_64
    openssh-server-7.4p1-16.el7.x86_64
    openssh-clients-7.4p1-16.el7.x86_64
    

    Centos7升级软件还是比较方便的,因为它所对应的云仓库版本都是最新的,不过前提是正确配置好了云仓库。这里以配置阿里云源为例:

    # cd /etc/yum.repos.d/
    # mv CentOS-Base.repo CentOS-Base.repo.bak  # 备份原来的源
    # wget -O http://mirrors.aliyun.com/repo/Centos-7.repo # 获取阿里云源
    # yum clean all # 清除缓存
    # yum makecache # 生成缓存
    # yum update # 升级软件包
    

    通过以上操作就将所有的软件都升级到了最新版本,可以查看一下OpenSSH的版本,如没有升级到最新版,你可以选择手动升级。

    # yum install openssh -y
    

    问题记录
    问题1:
    在最后update的时候可能会出现个别软件安装失败从而导致整体安装失败,遇到这种情况可以去https://pkgs.org/download/openssh下载相应的rpm包进行安装,安装rpm包可能会缺少依赖库,可以用yum install -y xxxxx安装相应的库,如没有还需去百度自行下载安装。

    问题2:
    yum安装时出现:Cannot retrieve metalink for repository: epel. Please verify its path and try again.
    只需把/etc/yum.repos.d/epel.repo文件里的第三行注释去掉,将第四行添加注释

    [epel]
    name=Extra Packages for Enterprise Linux 7 - $basearch
    #baseurl=http://download.fedoraproject.org/pub/epel/7/$basearch
    metalink=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch
    
    修改为
    [epel]
    name=Extra Packages for Enterprise Linux 7 - $basearch
    baseurl=http://download.fedoraproject.org/pub/epel/7/$basearch
    #metalink=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch
    

    再清理源重新缓存即可

    # yum clean all # 清除缓存
    # yum makecache # 生成缓存
    

    系统:Centos6

    Centos6升级可没有7那么简单,因为6的云仓库里openssh对应版本最高才5.3,所以需要自行下载安装最新版,不过前面基本都一样,先将软件更新到最新(yum update)

    1.安装Telnet服务并启用,避免安装完openssh无法远程登陆

    # yum -y install telnet-server*
    # vi /etc/xinetd.d/telnet
    将其中disable字段的yes改为no以启用telnet服务
    # mv /etc/securetty /etc/securetty.old    #允许root用户通过telnet登录
    # service xinetd start                    #启动telnet服务
    # chkconfig xinetd on                     #使telnet服务开机启动,避免升级过程中服务器意外重启后无法远程登录系统
    

    2.安装编译所需的依赖包

    # yum install -y gcc openssl-devel zlib-devel pam-devel

    3.备份当前openssh并卸载之前的openssh低版本rpm包

    # mv /etc/ssh /etc/ssh.old # 备份
    # rpm -qa | grep openssh # 查看当前openssh的rpm包
    # rpm -e --nodeps `rpm -qa | grep openssh`# 卸载openssh
    

    4.openssh安装前环境配置

    # install  -v -m700 -d /var/lib/sshd
    # chown  -v root:sys /var/lib/sshd
    # groupadd -g 50 sshd
    # useradd  -c 'sshd PrivSep' -d /var/lib/sshd -g sshd -s /bin/false -u 50 sshd
    

    5.下载新版openssh并解压编译安装

    # wget http://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-8.0p1.tar.gz 
    下载比较慢,有条件的可以选择VPN
    # tar -zxvf openssh-8.0p1.tar.gz
    # cd openssh-8.0p1/
    # ./configure --prefix=/usr  --sysconfdir=/etc/ssh  --with-md5-passwords  --with-pam  --with-zlib --with-openssl --with-privsep-path=/var/lib/sshd
    # make && make install
    

    6.openssh安装后环境配置

    # 在openssh编译目录执行如下命令
    # install -v -m755    contrib/ssh-copy-id /usr/bin
    # install -v -m644    contrib/ssh-copy-id.1 /usr/share/man/man1
    # install -v -m755 -d /usr/share/doc/openssh-8.0p1
    # install -v -m644    INSTALL LICENCE OVERVIEW README* /usr/share/doc/openssh-8.0p1
    # ssh -V              #验证是否升级成功
    

    在这里插入图片描述
    7.启用openssh服务并添加开机自启

    # 在openssh编译目录执行如下目录
    # echo 'X11Forwarding yes' >> /etc/ssh/sshd_config
    # echo "PermitRootLogin yes" >> /etc/ssh/sshd_config   #允许root用户通过ssh登录
    # cp -p contrib/redhat/sshd.init /etc/init.d/sshd
    # chmod +x /etc/init.d/sshd
    # chkconfig  --add  sshd
    # chkconfig  sshd  on
    # chkconfig  --list  sshd
    # service sshd restart
    注意:如果升级操作一直是在ssh远程会话中进行的,上述sshd服务重启命令可能导致会话断开并无法使用ssh再行登入(即ssh未能成功重启),此时需要通过telnet登入再执行sshd服务重启命令。
    

    8.确认ssh服务升级成功后,可选择关闭Telnet服务

    # mv /etc/securetty.old /etc/securetty
    # chkconfig  xinetd off
    # service xinetd stop
    
    # 如需还原之前的ssh配置信息,可直接删除升级后的配置信息,恢复备份。
    # rm -rf /etc/ssh
    # mv /etc/ssh.old /etc/ssh
    
    展开全文
  • 今天登陆阿里云控台,发现阿里云提示有两个高危的漏洞,分别是: RHSA-2018:3092: glibc security, bug fix, and enhancement update ...首先修复第一个漏洞: RHSA-2018:3092: glibc security...

    今天登陆阿里云控台,发现阿里云提示有两个高危的漏洞,分别是:

    RHSA-2018:3092: glibc security, bug fix, and enhancement update
    RHSA-2018:3157: curl and nss-pem security and bug fix update

    首先修复第一个漏洞:

    RHSA-2018:3092: glibc security, bug fix, and enhancement update 修复

    基本信息:

    CVE-2018-6485 严重CVE-2017-16997 高危

    标题: GNU C Library 'memalign'函数整数溢出漏洞
    CVSS分值: 9.8
    CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    披露时间: 2018-02-01
    CVE ID: CVE-2018-6485

    简介:

    GNU C Library(又名glibc,libc6)是一种按照LGPL许可协议发布的开源免费的C语言编译程序。

    GNU C Library 2.26及之前版本中的'memalign'函数的posix_memalign存在整数溢出漏洞。攻击者可利用该漏洞造成堆破坏。

    解决方案:
    请直接在漏洞处理页面,选择对应服务器和漏洞,生成修复命令后,登录到服务器上运行即可。

    (注:阿里云提示的高危漏洞需要态势感知SAS升级到“企业版”可使用该功能)

    升级命令,具体就是升级glibc。

    用法:登陆SSH 使用以下命令进入升级:

    yum update glibcyum update glibc-commonyum update glibc-develyum update glibc-headersyum update nscd

    执行完成后重启服务器,然后验证下:

    第二个漏洞:

    RHSA-2018:3157: curl and nss-pem security and bug fix update 修复

    基本信息:

    漏洞分类: 影响;拒绝服务影响;拒绝服务影响:信息泄露
    CVE-2018-1000007 严重CVE-2018-1000120 严重CVE-2018-1000122 严重CVE-2018-1000121
    标题: libcurl 信息泄露漏洞(CVE-2018-1000007)
    CVSS分值: 9.8
    CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    披露时间: 2018-01-24
    CVE ID: CVE-2018-1000007

    简介:

    libcurl是一个免费且易于使用的客户端URL传输库,支持DICT,FILE,FTP,FTPS,Gopher,HTTP,HTTPS,IMAP,IMAPS,LDAP,LDAPS,POP3,POP3S,RTMP,RTSP,SCP, SFTP,SMTP,SMTPS,Telnet和TFTP。
    libcurl 7.1到7.57.0版本存在信息泄露漏洞。

    详情:

    libcurl 7.1到7.57.0可能会意外地将身份验证数据泄漏给第三方。当被要求在其HTTP请求中发送自定义头时,libcurl会首先将header发送到初始URL中的主机,但如果被要求遵循重定向并返回30X HTTP响应代码,则会将该headers发送到URL中提到的主机`Location:`响应header的值。发送相同的头文件到随后的主机对于传递自定义`Authorization:`头文件的应用程序是个严重的问题,因为这个头文件通常包含隐私敏感信息或数据,这些信息或数据可能允许其他人模仿libcurl使用客户端的请求。

    解决方案:

    请直接在漏洞处理页面,选择对应服务器和漏洞,生成修复命令后,登录到服务器上运行即可。

    (注:阿里云提示的高危漏洞需要态势感知SAS升级到“企业版”可使用该功能)

    升级命令,具体就是升级libcurl

    用法:登陆SSH 使用以下命令进入升级:

    yum update curlyum update libcurlyum update libcurl-devel

    执行完成后重启服务器,然后验证下:

     

    原文转载:http://www.mumawu.com/Article/freezx/2018/1210/369939.html

    展开全文
  • CVE-2013-5211漏洞说明:CVE-2013-5211最早公布是2014年1月10日,由于NTP本身不会验证发送者的源ip地址。这就类似于DNS解析器使用的DRDoS(分布式反射型拒绝服务攻击)。攻击者HACK发送了一个伪造报文发送给NTP服务器...

    CVE-2013-5211漏洞说明:

    CVE-2013-5211最早公布是2014年1月10日,由于NTP本身不会验证发送者的源ip地址。这就类似于DNS解析器使用的DRDoS(分布式反射型拒绝服务攻击)。攻击者HACK发送了一个伪造报文发送给NTP服务器Server A,将数据包中的源ip地址改成了受害者Client A的ip地址。NTP服务器Server A会响应这个请求,相对于初始请求,响应包发送的字节数是一个被放大的量,导致受害者Client A被dos攻击。最高的两个消息类型:REQ_MON_GETLIST 和REQ_MON_GETLIST_1,通过高达3660和5500的一个因素分别放大原始请求。

    【解决方案】:

    放大反射dos攻击由CVE-2013-5211所致。且这漏洞是与molist功能有关。Ntpd4.2.7p26之前的版本都会去响应NTP中的mode7“monlist”请求。ntpd-4.2.7p26版本后,“monlist”特性已经被禁止,取而代之的是“mrulist”特性,使用mode6控制报文,并且实现了握手过程来阻止对第三方主机的放大攻击。

    操作步骤:

    echo "disable monitor" >> /etc/ntp.conf

    重启ntp服务

    验证:

    运行 # ntpdc

    ntpdc> monlist

    ***Server reports data not found

    ntpdc>

    此时monlist已经被禁止了,也不会影响其时间同步 。或者在配置文件中增加以下两行并重启ntp服务:

    restrict default kod nomodify notrap nopeer noquery

    restrict -6 default kod nomodify notrap nopeer noquery

    展开全文
  • 一、前置说明 chargen服务最初设计用于测试网络状态,监听19端口(包括TCP和UDP),其中UDP协议存在“Chargen UDP服务远程拒绝服务攻击漏洞”。 chargen一般不会使用,所以直接将该服务关闭即可,本...二、漏洞修复...

    一、前置说明

    chargen服务最初设计用于测试网络状态,监听19端口(包括TCPUDP),其中UDP协议存在“Chargen UDP服务远程拒绝服务攻击漏洞”。

    chargen一般不会使用,所以直接将该服务关闭即可,本教程也正是说明关闭方法。如果确实要用那只能用白名单进行处理了。

    chargen现在一般只存在于一些比较老旧的系统或suse上。chargen托管于xinetd

     

    二、漏洞修复

    2.1 修改chargen配置文件

    编缉/etc/xinetd/chargen-udp,编缉该文件,在配置大括号内的新建一行,追加以下内容:

    disable         = yes

     

     

    2.2 重启xinetd

    service xinetd restart

     

    2.3 验证udp:19端口已关闭

    netstat -anp | grep xinetd

    上图可以看到udp对应的19并没有在监听,说明关闭成功。

    tcp对应的19还在监听,是因为tcp没报漏洞我们没有关闭。

    实际中发现有些安全人员只要看到19端口开放就认为存在漏洞,那就同样修改/etc/xinetd/chargen以关闭tcp监听即可。

     

    展开全文
  • linux系统中常用yum命令漏洞修复 需要的相关网址: https://jingyan.baidu.com/article/7f766dafeec9244100e1d045.html
  • Linux redhat6.5系统自带的openssh版本为5.3p1,含有很多漏洞信息,基于安全要求需要升级到最新版本,官网已经发布到8.0版本了,为此整理了此文。包含知识点:openssh升级、linux启动过程。升级前主要漏洞信息有:...
  • 人有病得治,系统有补丁也要打。Linux redhat6.5系统自带的openssh版本为5.3p1,含有很多漏洞信息,基于安全要求需要升级到最新版本,官网已经发布到8....
  • Linux升级OpenSSH修复高危漏洞

    千次阅读 2019-07-22 10:00:05
    近期因centos 6.x和Redhat 6.x 默认openssh扫描存在大量漏洞,基于安全考虑,需要将openssh_5.3p1升级为最新版,网上查了很多教程,发现openssh存在大量依赖,不解决依赖问题很难保证其他服务。而openssl又被大量...
  • 阿里云服务器漏洞修复方法 随着服务器系统内核、服务器软件升级以及漏洞等出现,阿里云提供免费的漏洞检测服务,并且每周发送待处理漏洞周报给用户,格式如下: 【阿里云】尊敬的*@aliyun.com: 阿里云云安全中心...
  • Linux上redis安装:需先在服务器上安装yum(虚拟机可使用挂载的方式安装)安装配置所需要的环境运行指令: yum -y install gcc进入解压文件执行make 指令进行编译执行指令make PREFIX=/usr/local/redis install...
  • Nginx漏洞修复

    2021-05-24 16:40:18
    问题 修改Nginx配置文件nginx.conf: ... limit_conn_zone $binary_remote_addr zone=why_conn:10m; #共享内存区大小10M server_tokens off; #隐藏Nginx版本号 client_max_body_size 40m;... ..
  • 阿里云服务器漏洞需要修复吗?...收到阿里云的漏洞修复消息也不用担心,可以登录到阿里云安全中心控制台修复漏洞,服务器教程网分享阿里云服务器漏洞的修复方式,有两种方式: 注意:无论是自动修复
  • wget漏洞修复

    千次阅读 2017-07-12 10:34:39
    GNU Wget安全漏洞(CVE-2016-4971)漏洞描述 GNU Wget是GNU计划开发的一套用于在网络上进行下载的自由软件,它支持通过HTTP、HTTPS以及FTP这三个最常见的...远程攻击者可利用该漏洞写入任意本地文件。 解决方案 厂商补
  • Linux基础教程

    万次阅读 多人点赞 2019-06-16 11:08:09
    linux中,最最重要的就是命令,这就包含了2个过程,输入和输出 输入:输入当然就是打开终端,然后按键盘输入,然后按回车,输入格式一般就是这类的 #创建一个名为 file 的文件,touch是一个命令 $ touch file #...
  • 网上教程比较多,今天统一整理一下,非常详细亲测可用,Linux 6通用,供大家参考! openssl版本:1.0.2r openssh:8.0p1 操作系统:redhat6.8 一 安装配置telnet 操作前先配置本地yum 将iso挂载到/mnt目录 [root@mydb...
  • 系统漏洞修复:升级OpenSSH+OpenSSL

    千次阅读 2019-01-31 00:04:36
    系统漏洞修复:升级OpenSSH+OpenSSL背景系统及版本说明升级OpenSSL合理的创建标题,有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左...
  • 摘要:昨日Linux glibc库曝出高危缓冲区溢出漏洞GHOST(幽灵),漏洞CVE编号为CVE-2015-0235,通过该漏洞,***者可以远程获取linux服务器的最高控制权限。昨日Linux glibc库曝出高危缓冲区溢出漏洞GHOST(幽灵),漏洞...
  • 近日,Intel发布了最新版本的Linux处理器微代码数据文件,而这个补丁文件能够修复Intel CPU中的Spectre以及Meltdown漏洞。广大用户可以使用微代码文件来修复操作系统中目前已知的Intel CPU安全漏洞,而无需在计算机...
  • 为保障在升级openssh过程中出现网络中断导致连接不上服务器,建议先安装telnet服务,当网络中断时,可通过telnet远程到服务器。一、安装telnet服务yum install xinetd 依赖yum install telnet 客户端yum install ...
  • Linux系统下如何检测并修复bash中的破壳漏洞​​问题:我想要知道我的Linux服务器是否存在bash破壳漏洞,以及如何来保护我的Linux服务器不受破壳漏洞侵袭。2014年9月24日,一位名叫斯特凡·沙泽拉的安全研究者发现了...
  • 离线修复 linux(centeros6 7)中openssh系列漏洞 安全漏扫发现好多关于openssh漏洞,因为不是专业漏洞检查人员,漏洞详细解释里边推荐我去一大堆网址里边找下载补丁,全英文也看不懂,谷歌翻译了也跟天书一样,点...
  • 以下是小编为大家附上最常用的Linux内核之 centos和ubuntu服务器修复Bash漏洞终极修复方法。可以学习L002-老男孩实效教育-计算机基础及linux入门教程了解Linux。 目前已确认被成功利用的...
  • 心脏出血漏洞(heartbleeder 自动检测 OpenSSL 心脏出血漏洞 (附修复指南)),哪吒游戏网给大家带来详细的心脏出血漏洞(heartbleeder 自动检测 OpenSSL 心脏出血漏洞 (附修复指南))介绍,大家可以阅读一下,希望这篇...
  • 近日,Intel发布了最新版本的Linux处理器微代码数据文件,而这个补丁文件能够修复Intel CPU中的Spectre以及Meltdown漏洞。广大用户可以使用微代码文件来修复操作系统中目前已知的Intel CPU安全漏洞,而无需在计算机...
  • 修复OpenSSH漏洞 友情提示:请阅读完文章,再进行操作,感谢支持,祝你万事胜意! 漏洞概括 OpenSSH 输入验证错误漏洞(CVE-2019-16905) OpenSSH 命令注入漏洞(CVE-2020-15778) OpenSSH 安全漏洞(CVE-2021-28041) ...
  • 我们将开始每周连载由周立功编著的《嵌入式Linux开发教程》,供所有开发者阅读。 第1章 Linux操作系统简介 本章导读:本章首先对Linux发展简史进行简要介绍,然后对Linux内核进行了介绍,重点介绍了Linux内核...
  • Linux教程(第5版)孟庆昌版 课后答案

    万次阅读 多人点赞 2020-06-15 10:18:50
    最近在复习Linux,用的教材是《Linux教程(第5版)孟庆昌版》,但每章的课后复习题答案没给,不太方便,我整理了一下
  • 今天,Kubernetes发布了一系列补丁版本,修复新近发现的两个安全漏洞CVE-2019-1002101(kubectl cp命令安全漏洞)和CVE-2019-9946(CNI端口映射插件漏洞)。Rancher也紧急更新,发布一系列新版以支持Kubernetes补丁...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 1,987
精华内容 794
关键字:

linux漏洞修复教程

linux 订阅