*** CentOS 7 升级最新openssh-9.8p1***
点击原文链接
一、OpenSSH漏洞
服务器被扫描出了漏洞需要修复,根据提示准备升级为openssh9.8p1
的版本
- 使用ssh -v查看本机ssh服务版本号
ssh -V
- 准备好需要用到的包
# 百度网盘
链接: https://pan.baidu.com/s/1M80ZV1bBeP1mKvaeAHRxuQ?pwd=6688
提取码: 6688
-
将安装包全部上传至服务器/opt目录(可以是任意目录,解压时注意路径)
-
安装
telnet服务
。为了保险起见,假如ssh更新失败断开又连不上我们可以使用telnet服务连接。此步骤可跳过
大家根据自己实际情况来。升级OpenSSH之前多打开一个连接窗口,假如升级失败了卸载了SSH也还是能连上的,只是不能断开,断开就连不上了。
4.1 telnet服务是由xinetd管理的,需要安装xinetd服务才能启动telnet-server
yum -y install telnet-server xinetd
4.2 添加telnet配置文件
echo "service telnet
{
flags = REUSE
socket_type = stream
wait = no
user = root
server = /usr/sbin/in.telnetd
log_on_failure += USERID
disable = no
}" > /etc/xinetd.d/telnet
4.3 启动xinetd
# 启动
systemctl start xinetd && systemctl status xinetd
# 开机自启
systemctl enable xinetd
4.4 创建连接账号密码
#创建连接账号
useradd admins
#设置连接密码
passwd admins
#设置密码
**********
4.5 测试连接
使用win+r输入cmd打开指令板,输入telnet 服务器IP
输入刚刚创建的账号密码连接,和SSH连接一样
#步骤4.4创建的
账号: admins
密码: **********
- 备份之前的SSH配置文件
cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
cp -p /usr/sbin/sshd /usr/sbin/sshd.bak
cp -p /usr/bin/ssh /usr/bin/ssh.bak
cp -rf /usr/bin/openssl /usr/bin/openssl.bak
cp -p /usr/bin/ssh-keygen /usr/bin/ssh-keygen.bak
cp -p /etc/ssh/ssh_host_ecdsa_key.pub /etc/ssh/ssh_host_ecdsa_key.pub.bak
cp -rf /usr/lib/systemd/system /system.bak
cp /etc/pam.d/sshd /etc/pam.d/sshd.bak
- 依赖安装-绝大部分应该都已经装过,可以只装没装过的
yum install -y gcc gcc-c++ glibc make autoconf openssl openssl-devel pcre-devel pam-devel zlib-devel perl-IPC-Cmd
二、安装zlib
- 解压
tar -zxvf zlib-1.3.1.tar.gz -C /usr/local/
cd /usr/local/zlib-1.3.1/
- 编译 && 安装
# 编译
./configure --prefix=/usr/local/zlib
# 安装
make && make install
三、安装OpenSSL
- 解压
cd /opt
tar -zxvf openssl-3.3.0.tar.gz -C /usr/local/
cd /usr/local/openssl-3.3.0
- 安装依赖
yum install -y perl-CPAN perl-ExtUtils-CBuilder perl-ExtUtils-MakeMaker
perl-IPC-Cmd,Data-Dumper-2不装直接安装openssl会报错,可能是虚拟机比较老,正常服务器应该有安装,可先跳过,如果报错在回来装
- 安装perl-IPC-Cmd
cd /opt
unzip perl-IPC-Cmd.zip -d /usr/local/
如果出现解压失败,需要安装unzip依赖再去解压
yum install -y unzip
安装
cd /usr/local/perl
rpm -ivhU * --nodeps --force
- 安装
Data-Dumper-2.183
cd /opt
tar -zxvf Data-Dumper-2.183.tar.gz -C /usr/local
cd /usr/local/Data-Dumper-2.183
perl Makefile.PL
make
make install
- 安装
openssl
cd /opt
tar -zxvf openssl-3.3.0.tar.gz -C /usr/local/
cd /usr/local/openssl-3.3.0/
./config --prefix=/usr/local/ssl --shared
- 编译安装 (过程比较久,大概十来分钟)
make && make install
编译完成
- 配置
#依次执行
mv /usr/bin/openssl /usr/bin/oldopenssl
ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
ln -s /usr/local/ssl/lib64/libssl.so.3 /usr/lib64/libssl.so.3
ln -s /usr/local/ssl/lib64/libcrypto.so.3 /usr/lib64/libcrypto.so.3
echo "/usr/local/ssl/lib64" >> /etc/ld.so.conf
ldconfig
- 查看更新后的版本
openssl version -v
# 升级为3.3.0则成功
四、安装OpenSSH
- 卸载旧版本openSSH_7.4p1,注意:卸载完千万不能断开,断开就连不上了
yum remove -y openssh
# 清理残余文件
rm -rf /etc/ssh/*
- 解压
cd /opt
tar -zxvf openssh-9.8p1.tar.gz -C /usr/local/
cd /usr/local/openssh-9.8p1
- 编译安装
./configure --prefix=/usr/local/openssh --with-zlib=/usr/local/zlib --with-ssl-dir=/usr/local/ssl
make && make install
- 配置ssh
#ssh允许root登录、需要密码进行验证
echo 'PermitRootLogin yes' >>/usr/local/openssh/etc/sshd_config
echo 'PubkeyAuthentication yes' >>/usr/local/openssh/etc/sshd_config
echo 'PasswordAuthentication yes' >>/usr/local/openssh/etc/sshd_config
#将编译安装的新配置文件 拷贝到原路径下
cp /usr/local/openssh/etc/sshd_config /etc/ssh/sshd_config
cp /usr/local/openssh/sbin/sshd /usr/sbin/sshd
cp /usr/local/openssh/bin/ssh /usr/bin/ssh
cp /usr/local/openssh/bin/ssh-keygen /usr/bin/ssh-keygen
cp /usr/local/openssh/etc/ssh_host_ecdsa_key.pub /etc/ssh/ssh_host_ecdsa_key.pub
#拷贝启动脚本
cp -p contrib/redhat/sshd.init /etc/init.d/sshd
#给sshd添加可执行权限
chmod +x /etc/init.d/sshd
#设置开机自启
systemctl enable sshd
#重新启动sshd服务
systemctl restart sshd
#查看sshd服务状态
systemctl status sshd
- 查看OpenSSH版本,显示新版本就是升级成功了,如果显示还是旧的话断开重连一下再查看版本,可能没刷新
ssh -V
忽略这里图中的9.7,因为之前我是升级的9.7