网络安全的第一道防线：深入探索sslscan在SSLTLS证书安全检测中的原理与实践

最新推荐文章于 2024-10-19 11:58:03 发布
最新推荐文章于 2024-10-19 11:58:03 发布
阅读量1.9k 收藏 44
点赞数 27
文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ZL_1618/article/details/140684131
版权

一、前言

sslscan
用于扫描SSL/TLS证书并报告协议版本、密码套件、密钥交换、签名算法和证书详细信息等，帮助用户从安全角度加强数据传输安全性，同时，sslscan还可以将结果输出到XML文件中，以便外部程序使用。本文将详细介绍sslscan用法案例及其扫描原理。

终端输出的颜色编码及其含义：

颜色 密码套件
红色背景 空套件
红色字体 破损套件（<=40 bit）、破损协议（SSLv2/SSLv3）或破损证书的签名算法（MD5）
黄色字体 弱密码套件（<=56 bit或RC4）或弱证书签名算法（SHA-1）
紫色字体 匿名套件（ADH或AECDH）

TLS协商过程

![img](https://img-
blog.csdnimg.cn/img_convert/f07a69bf20881e790b5824dc143434ec.png)

在TCP三次握手后的TLS握手阶段（即淡黄色部分）即为我们重点关注和检测的部分。

所在层级

![img](https://img-
blog.csdnimg.cn/img_convert/8e451a7b2c6f917fcc51ce10bf8382fb.png)

TLS 命名为安全传输层协议（ Transport Layer Security
），实际作用在传输层偏上的会话层，它既不影响上层协议又能保证上层协议的网络通信安全。

二、安装

sslscan在各大发行版的软件源中几乎都有，可以直接从软件源安装：

发行版 安装命令
ArchLinux pacman -Sy sslscan
Centos/Redhat yum install sslscan -y
Debian/Ubuntu apt install sslscan -y
Gentoo emerge --ask sslscan

也可以将源码git clone到本地进行编译安装：

代码语言：bash

复制

$ git clone https://github.com/rbsec/sslscan
$ cd sslscan
$ make static
$ ./sslscan --version

三、输出结构

不加任何参数的情况下，直接执行sslscan <目标>进行扫描，会完整的将各个部分展示到结果上。

各部分的输出含义如下：

区域 原文 含义
第一部分 SSL/TLS Protocols 支持的SSL/TLS版本
第二部分 TLS Fallback SCSV 是否支持TLS Fallback SCSV
第三部分 TLS renegotiation 是否支持TLS重协商
第四部分 TLS Compression 是否支持TLS压缩
第五部分 Heartbleed 是否存在心脏滴血漏洞
第六部分 Supported Server Cipher(s) 服务端支持的加密套件
第七部分 Server Key Exchange Group(s) 服务端支持的密钥交换组
第八部分 SSL Certificate 证书详细信息

以下面这段输出为例：

代码语言：bash

复制

$ sslscan www.google.com
Version: 2.1.2-static
OpenSSL 3.0.12 24 Oct 2023

Connected to 172.217.27.4

Testing SSL server www.google.com on port 443 using SNI name www.google.com

  SSL/TLS Protocols:  # 第一部分
SSLv2     disabled
SSLv3     disabled
TLSv1.0   enabled
TLSv1.1   enabled
TLSv1.2   enabled
TLSv1.3   enabled

  TLS Fallback SCSV:  # 第二部分
Server supports TLS Fallback SCSV

  TLS renegotiation:  # 第三部分
Secure session renegotiation supported

  TLS Compression:    # 第四部分
Compression disabled

  Heartbleed:         # 第五部分
TLSv1.3 not vulnerable to heartbleed
TLSv1.2 not vulnerable to heartbleed
TLSv1.1 not vulnerable to heartbleed
TLSv1.0 not vulnerable to heartbleed

  Supported Server Cipher(s):  # 第六部分
Preferred TLSv1.3  128 bits  TLS_AES_128_GCM_SHA256        Curve 25519 DHE 253
Accepted  TLSv1.3  256 bits  TLS_AES_256_GCM_SHA384        Curve 25519 DHE 253
Accepted  TLSv1.3  256 bits  TLS_CHACHA20_POLY1305_SHA256  Curve 25519 DHE 253
...略

  Server Key Exchange Group(s):  # 第七部分
TLSv1.3  128 bits  secp256r1 (NIST P-256)
TLSv1.3  128 bits  x25519
TLSv1.2  128 bits  secp256r1 (NIST P-256)
TLSv1.2  128 bits  x25519

  SSL Certificate:              # 第八部分
Signature Algorithm: sha256WithRSAEncryption
ECC Curve Name:      prime256v1
ECC Key Strength:    128

Subject:  www.google.com
Altnames: DNS:www.google.com
Issuer:   GTS CA 1C3

Not valid before: Dec 11 08:10:00 2023 GMT
Not valid after:  Mar  4 08:09:59 2024 GMT

四、用法案例及参数说明

需要注意，sslscan的所有参数选项必须写在被扫描的目标主机之前，不能写在后面，否则会报错，目前最新2.0版本是这样，后续随着版本更新可能有所优化。

正确示例：

代码语言：bash

复制

sslscan --show-certificate google.com

错误示例：

代码语言：bash

复制

sslscan google.com --show-certificate
1.扫描支持的SSL/TLS版本、cipher信息等

在**『输出结构』**中说过，不加任何参数的情况下，sslscan会显示总共八部分的内容。

同时，需要注意：

  • 目标可以是域名、IP；
  • 不指定端口的情况下默认为443，如需指定自定义端口，接:port即可，比如domain.com:8443；
  • 输出结果中的服务端支持的加密套件(Supported Server Cipher(s))，Prefereed 表示优先选中的套件，Accepeted 表示支持的套件；
  • SSL/TLS等级和安全性：TLSv1.3 > TLSv1.2 > TLSv1.1 > TLSv1.0 > SSLv3 > SSLv2。

如果此时已经满足需求，则无需加任何多余的参数：

代码语言：bash

复制

sslscan <目标>

![img](https://img-
blog.csdnimg.cn/img_convert/e8aeab24512c7437f0458dc365603f17.png)

2.检测OCSP的状态（–ocsp）
1）CRL和OCSP

在此之前，首先了解下什么是CRL 。CRL （Certificate Revocation List）证书吊销列表是[RFC
5280](https://cloud.tencent.com/developer/tools/blog-
entry?target=https%3A%2F%2Fdatatracker.ietf.org%2Fdoc%2Fhtml%2Frfc5280&source=article&objectId=2383594)定义的检查证书状态的机制。

想象一种场景，客户端通过SSL/TLS连接到服务端，怎么确保证书本身是否可靠安全？比如证书是否由于各种原因被证书申请者申请在证书有效期内提前吊销证书或安全原因被机构主动吊销（比如泄漏私钥的场景）？

首先每个证书颁发机构会维护并持续更新的一个已吊销的证书列表，任何想验证证书是否被吊销的用户都能下载此列表，如果列表中有你要被验证的证书，说明证书已经被吊销了，不再安全可信。

随着证书越来越多，CRL文件也愈来愈冗长，所以也会导致一些问题：

  • CRL列表随着被吊销的证书日益增多而变得冗长，每个客户端都必须取得包含所有证书序列号的CRL完整列表；
  • 刚被吊销的证书，CRL列表更新并不及时，比如客户端已经缓存了CRL的场景，在缓存期内，证书会被认为一直有效。

基于上面两个历史原因，在[RFC 2560](https://cloud.tencent.com/developer/tools/blog-
entry?target=https%3A%2F%2Fdatatracker.ietf.org%2Fdoc%2Fhtml%2Frfc2560&source=article&objectId=2383594)又推出了OCSP
（Online Certificate Status
Protocol）在线证书状态协议，可以完美解决上面两个问题，首先支持实时检查证书状态的机制，并且支持查询需要被验证的证书序列号是否有效，而无需像CRL一样将整个CRL列

最低0.47元/天 解锁文章
如何判断https使用了哪个版本的TLS？
微信公众号：互联网之路
03-02 989
通过以上方法，可准确判断 HTTPS 网站使用的 TLS 版本，确保符合安全最佳实践。在 Postman 的请求控制台中，查看响应头的。，输入网址后检测 TLS 配置。扫描支持的 TLS 版本。命令检查 TLS 版本。或使用控制台网络标签。参数显示详细握手信息。
SSL服务器扫描器(sslscan)
05-03
网上下载的开源SSL服务器扫描代码。 依赖与openssl库。 超级好用啊，精华之作。
sslscan:SSLScan 测试启用 SSLTLS 的服务以发现支持的密码套件
06-13
SSL扫描 SSLScan 查询 SSL 服务，例如 HTTPS，以确定支持的密码。 SSLScan 旨在简单、精简和快速。 输出包括 SSL 服务的首选密码、证书以及文本和 XML 格式。 特征 查询 SSL 服务 支持的加密协议：SSLv2、SSLv3、TLS 1.0、TLS 1.1 和 TLS 1.2（取决于使用的 OpenSSL 库） 对 FTP、IMAP、POP3、SMTP 和 XMPP 的 STARTTLS 支持 执行 HTTP 连接 IPv4 和 IPv6 绑定到本地IP地址 Python 扩展 文本和 XML 输出 安装 要求： OpenSSL 1.0.0 或更高版本 海湾合作委员会 制作 制作 openssl-devel python-devel（2.6、2.7、3.2 或 3.3 - Python 3.x 首选） 生成文件构建： mkdir build c
多种方法在Linux上检查tls版本
热门推荐
nb1253587023的博客
07-25 1万+
在这个例子中，我们连接到example.com的443端口，并指定使用TLS 1.2版本。无论使用哪种方法，检查TLS版本是确保系统安全和加密通信的重要步骤。确保系统上使用的TLS版本是最新且安全的，以保护你的数据和隐私。这个Python脚本使用socket和ssl模块来连接到example.com的443端口，并输出所使用的TLS版本。这将扫描example.com的443端口，并列出支持的TLS版本。在输出中，你可以看到连接信息，其中包括所使用的TLS版本。
SSL Digger 检查服务器支持的加密格式
10-08
不错的工具。需要dotnet 1.0。可以检测你的服务器支持什么加密传输。
打造坚不可摧的网络安全防线：专业实践与实用策略+编程知识+开发技术+网络安全
06-13
打造坚不可摧的网络安全防线：专业实践与实用策略+编程知识+开发技术+网络安全； 打造坚不可摧的网络安全防线：专业实践与实用策略+编程知识+开发技术+网络安全； 打造坚不可摧的网络安全防线：专业实践与实用策略+...
防火墙：网络安全的核心防线
最新发布
10-25
防火墙是一种网络安全系统，它监控和控制进出网络的数据流量，通过预定义的安全规则允许或拒绝数据包传输，从而保护内部网络免受外部威胁和未经授权的访问。防火墙可以是硬件设备、软件程序或两者的组合，执行访问...
USG6000 SSL/TLS协议信息泄露漏洞【原理扫描】
ljq357031560的博客
06-27 696
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】 SSL/TLS服务器瞬时Diffie-Hellman公共密钥过弱【原理扫描】
SSL扫描工具 - sslscan
gitblog_09775的博客
10-19 847
SSL扫描工具 - sslscan 【下载地址】SSL扫描工具-sslscan sslscan是一款强大的SSL/TLS协议扫描工具，用于评估Web服务器的SSL/TLS配置安全性。它能够快速识别服务器支持的SSL和TLS版本，以及它们提供的各种加密套件。对于网络安全研究人员、系统管理员和关注网站安全的用户来说，这个工具...
tls-scan:互联网规模，快速的SSLTLS扫描器（非阻塞，事件驱动）
05-11
扫描 扫描基于TLS的服务器并收集X.509证书，密码和相关信息的程序。 它以JSON格式生成结果。 tls-scan是一个单线程基于异步/事件的程序（由libevent支持），能够同时扫描数千个TLS服务器。 可以将其与其他工具（如GNU）组合使用，以在多核计算机中垂直缩放。 tls-scan帮助开发人员和安全工程师跟踪/测试/调试组织中服务器的证书和TLS配置。 特征 新增：支持TLSv1.3 TLS和StartTLS协议支持：SMTP，IMAP，POP3，FTPS，SIEVE，NNTP，XMPP，LDAP，RDP，POSTGRES，MYSQL 快速燃烧-可以大规模运行并具有同时扫描大量服务器的能力（例如大规模扫描IoT设备） 检测SSLv2，SSLv3，TLSv1，TLSv1.1，TLSv1.2，TLSv1.3版本和密码 密码和TLS版本枚举 从目标服务器中提取X.509证书
ssh和openssl防扫描
01-07
ssh和openssl防扫描，本文教你怎么避免被扫描器扫到
突破tls校验常用方法
Cocktail_py的博客
03-02 2730
写爬虫的时候，觉得只要自己每次请求都使用不同的代理 IP，每次请求的 Headers 都写得跟浏览器的一模一样，就不会被网站发现。但实际上，还有一个东西，叫做浏览器指纹，它是不会随着你更换 IP 或者 User-Agent 而改变的。而且即使你不使用模拟浏览器，你直接使用 Golang、使用 Python，它们也有自己各自的指纹，并且他们的指纹每次请求也是固定的。只要网站发现某个拥有特定指纹的客户端持续高频率请求网站，它就可以把你封掉。检测算法，叫做JA3算法。
Linux下快速确定目标服务器支持哪些协议和密码套件
chen1415886044的博客
11-19 3331
可以使用工具如sslscan或openssl s_client，通过连接到目标服务器的443端口，并通过协商SSL/TLS握手过程来获取支持的密码套件列表。在这个过程中，如果https服务器配置不当，就会存在MITM（中间人）攻击的风险，攻击者可能利用客户端支持的较弱加密算法来欺骗服务器。通过发送特定的握手请求并分析响应，可以确定目标服务器所支持的TLS协议和密码套件等信息。主要通过发送网络请求并解析服务器响应来获取目标服务器开放的端口和服务信息，再通过SSL/TLS握手获取服务器支持的密码套件列表。
SSL协议详解
weixin_30883777的博客
12-05 781
　背景介绍 　　最近在看《密码学与网络安全》相关的书籍，这篇文章主要详细介绍一下著名的网络安全协议SSL。 　　在开始SSl介绍之前，先给大家介绍几个密码学的概念和相关的知识。 　　1、密码学的相关概念 密码学(cryptography)：目的是通过将信息编码使其不可读，从而达到安全性。 明文(plain text)：发送人、接受人和任何访问消息的人都能理解的消息。 密文(c...
推荐使用DROWN Scanner：一款强大的TLS漏洞检测工具
gitblog_00016的博客
08-19 435
推荐使用DROWN Scanner：一款强大的TLS漏洞检测工具 项目地址:https://gitcode.com/gh_mirrors/pu/public_drown_scanner 项目介绍 DROWN Scanner 是一款专为检测TLS协议中DROWN攻击漏洞而设计的Python实用工具。该工具遵循GPLv2许可证，集成了scapy-ssl_tls和pyx509库，这两者同样遵循GPLv2...
强力推荐：Reality TLS Scanner——您的TLS安全扫描利器
gitblog_01141的博客
09-03 408
强力推荐：Reality TLS Scanner——您的TLS安全扫描利器 RealiTLScannerA TLS server scanner for Reality项目地址:https://gitcode.com/gh_mirrors/re/RealiTLScanner 项目介绍 在网络安全日益重要的今天，对SSL/TLS协议的深入理解和监控成为了不容忽视的一环。Reality TLS Sc...
CSRF攻击与防御：Web安全的第一防线
CSRF攻击与防御 CSRF（Cross-Site Request Forgery），也被称为“One Click Attack”或者Session Riding，是一种对网站的恶意利用。CSRF攻击的危害非常大，攻击者可以盗用用户的身份，以用户的名义发送恶意请求，对...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值