常见主机漏洞

1、openssh累积型漏洞 高 cve-2017-10012

修复意见：

升级版本至>=openssh-5.3p1-122.el6

2、NTP累积型漏洞 高

修复意见：

稳定版请尽快安装ntp-4.2.8p4及以后版本

开发版请尽快安装ntp-4.3.77及以后版本

3、服务器支持 SSL Insecure Renegotiation (CVE-2009-3555)【原理扫描】 中

修复意见：

建议升级openssl来进行修复，openssl-0.98m之后的版本就已经修复了该漏洞，使用了Secure Renegotiation。

4、SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808) 中

修复意见：

对于NGINX的修补

修改nginx配置文件中的 ssl_ciphers项

ssl_ciphers"ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";

ssl_prefer_server_ciphers on;

重新加载：

$sudo /etc/init.d/nginx reload

对于apache的修复

打开配置文件

$ sudo vi /etc/httpd/conf.d/ssl.conf

修改配置

SSLCipherSuite

HIGH:MEDIUM:!aNULL:!MD5;!RC4

$ sudo /etc/init.d/httpd restart

对于TOMCAT的修复

server.xml 中SSL connector加入以下内容:

SSLEnabled="true"sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"ciphers=“TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,SSL_RSA_WITH_RC4_128_SHA”

5、SSL 3.0 POODLE攻击信息泄露漏洞(CVE-2014-3566) 中

修复意见：

Apache

在mod_ssl配置文件中使用如下命令禁用SSLv2和SSLv3： SSLProtocol All -SSLv2 -SSLv3 重启Apache

Nginx

在配置文件中使用： ssl_protocols TLSv1 TLSv1.1 TLSv1.2; 重启Nginx

6、oracle weblogic漏洞 高

影响版本

Oracle WebLogic Server10.3.6.0

Ora