脆弱的SSL加密算法漏洞原理以及修复方法_检测到目标服务支持ssl弱加密算法漏洞修复

可以这样建立一个仅使用SSLv2协议及其密码算法的服务器：
httpd.conf
SSLProtocol -all +SSLv2
SSLCipherSuite SSLv2:+HIGH:+MEDIUM:+LOW:+EXP

3、 如何建立一个仅接受强加密请求的SSL服务器:

如下设置为仅使用最强的七种密码算法：
httpd.conf
SSLProtocol all
SSLCipherSuite HIGH:MEDIUM

4、 如何建立一个仅接受强加密请求的SSL服务器，而又允许对外浏览器使用更强的加密：这个功能被称为以服务器为网关的加密(Server Gated Cryptography[SGC])， 在README.GlobalID文档中有详细说明。 简单地说就是：服务器拥有一个由来自Verisign的一个特殊的CA证书签发的服务器身份证， 从而在对外浏览器上实现强加密。 其过程如下：浏览器使用对外密码进行连接，服务器返回其全局ID身份证， 浏览器校验后在后继HTTP通讯产生之前提升其密码组。 现在的问题是：如何允许这样的提升，而又强制性地使用强加密。 换句话说就是：浏览器必须在开始连接时就使用强加密，或者提升到强加密， 但是维持对外密码是不允许的。以下巧妙地解决了这个问题：

httpd.conf

允许在初始握手阶段使用所有的密码，

以允许对外服务器通过SGC功能提升密码组

SSLCipherSuite
ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
<Directory /usr/local/apache2/htdocs>

但是最终会拒绝所有没有提升密码组的浏览器

SSLRequire %{SSL_CIPHER_USEKEYSIZE} >= 128

5、 如何建立接受所有类型密码的SSL服务器，但对特定的URL实施强加密:显然，不能使用服务器全局设置SSLCipherSuite，它会限制密码为强类型。 但是，mod_ssl允许重配置针对目录的密码组，并自动进行一个带有服从新配置的SSL参数的重协商。 因此，其解决方案成了：

httpd.conf

在一般情况下的处理是宽松的

SSLCipherSuite
ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
<Location /strong/area>

但对于https://hostname/strong/area/ 及其以下的内容

要求强密码

SSLCipherSuite HIGH:MEDIUM

对于windos系统中，禁用SSL弱加密算法修复方案：

1、 windows server 2003注册表可能与以下的不同。解决方案：Windows Server 2008支持下列协议：•SSL 2.0 •SSL 3.0•TLS 1.0。Windows Server 2008 R2 和Windows 7 支持下列协议：•SSL 2.0 •SSL 3.0•TLS 1.0•TLS 1.1•TLS 1.2，对于服务器或客户端体系结构，可以禁用这些协议。这意味着可以省略该协议，或将其禁用。如果要禁用SSL-V2.0，采用如下方案：

SSL 2.0 的 服 务 器 计 算 机 上 的 注 册 表 位 置 如 下 所 示 ：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server
（1）若要启用 SSL 2.0，请执行以下步骤： 1.在客户端计算机上，将DisabledByDefault DWORD 值设置为 00000000。 2.在服务器计算机上，将启用的 DWORD 值设置为 0xffffffff。 3.重新启动计算机。
（2）若要禁用 SSL 2.0，请执行以下步骤： 1.在客户端计算机上，将DisabledByDefault DWORD 值设置为 00000001。2.在服务器计算机上，将启用 DWORD 值设置为 00000000。 3.重新启动计算机。

1、 SCHANNEL 键部分、 方法或任务包含一些介绍如何修改注册表的步骤。但是，如果不正确地修改了注册表，可能会出现严重的问题。因此，请确保仔细按照下列步骤操作。为增加保护，对其进行修改之前备份注册表。然后，您可以在出现问题时还原注册表。：

SCHANNEL 键位置：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
以下为常见的SCHANNEL键子项，包含弱加密算法的一些禁用方法：
（1）56/128 SCHANNEL\Ciphers\RC4 子项：RC4 64/128，若要允许此密码算法，更改到已启用值的 DWORD 值数据 0xffffffff.否则，更改到的 DWORD 值数据 0x0.如果您不配置启用值，默认情况下启用。

（2）56/128 SCHANNEL\Ciphers\RC2 子项：RC4 56/128，56 位 RC4 引用此注 册 表 项 。 若 要 允 许 此 密 码 算 法 ， 更 改 到 已 启 用 值 的 DWORD 值 数 据0xffffffff.否则，更改到的 DWORD 值数据 0x0.如果您不配置启用值，默认情况下启用。

（3）SCHANNEL\Ciphers\RC2 56/56 子项：RC2 56/128，56 位 RC2 引用此注册表项。若要允许此密码算法，更改到已启用值的 DWORD 值数据 0xffffffff.否则，更改到的 DWORD 值数据 0x0.如果您不配置启用值，默认情况下启用。

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网络安全面试题

绿盟护网行动

还有大家最喜欢的黑客技术

网络安全源码合集+工具包

所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-P2Znzn5K-1712645896083)]