SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】处理

已于 2023-05-19 11:29:12 修改
阅读量10w+ 收藏 285
点赞数 77
分类专栏： 安全相关 文章标签： 漏洞 ssl tls1.1 cipher cve-2016-2183
于 2020-12-30 14:56:12 首次发布
文章仅用于技术分享，未经本人同意，禁止转载，且不得应用于商业模式
本文链接：https://blog.csdn.net/ximenjianxue/article/details/111983377
版权

一、概述

SSL/TLS协议信息泄露漏洞(CVE-2016-2183)漏洞说明：

SSL全称是Secure Sockets Layer，安全套接字层，它是由网景公司（Netscape）设计的主要用于Web的安全传输协议，目的是为网络通信提供机密性、认证性及数据完整性保障。如今，SSL已经成为互联网保密通信的工业标准。SSL最初的几个版本（SSL 1.0、SSL2.0、SSL 3.0）由网景公司设计和维护，从3.1版本开始，SSL协议由因特网工程任务小组（IETF）正式接管，并更名为TLS（Transport Layer Security），发展至今已有TLS 1.0、TLS1.1、TLS1.2，TLS1.3这几个版本。TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。

风险级别：中

该漏洞又称为SWEET32（https://sweet32.info）是对较旧的分组密码算法的攻击，它使用64位的块大小，缓解SWEET32攻击OpenSSL 1.0.1和OpenSSL 1.0.2中基于DES密码套件从“高”密码字符串组移至“中”；但OpenSSL 1.1.0发布时自带这些，默认情况下禁用密码套件。该问题在新的openssl版本中已解决。

远程主机支持使用提供中等强度加密的SSL密码。Nessus将中等强度视为使用密钥长度至少为64位且小于112位的任何加密，或使用3DES加密套件的任何加密。请注意，如果攻击者位于同一物理网络上，那么绕过中等强度加密就容易得多。对于windows，该漏洞影响了很多的服务，包括常见的3389，80，443，25等。

【升级建议】

OpenSSL 1.0.2用户应升级到1.0.2i
OpenSSL 1.0.1用户应升级到1.0.1u

二、升级处理

1、官方地址：https://www.openssl.org/source/；最新的稳定版本是1.1.1系列，且是TLS版本；之前旧版本(包括1.1.0, 1.0.2, 1.0.0 and 0.9.8)不在支持维护；
在这里插入图片描述
下载地址：https://www.openssl.org/source/openssl-1.1.1i.tar.gz

2、或者linux上直接运行：

openssl version -a		//确认当前版本，备份证书文件和秘钥文件
mv /usr/bin/openssl /usr/bin/openssl.old  /备份执行文件
mv /usr/include/openssl /usr/include/openssl.old
cd /usr/local/src/
wget https://www.openssl.org/source/openssl-1.1.1h.tar.gz
tar zxvf openssl-1.1.1h.tar.gz
cd  ./openssl-1.1.1h/
./config --prefix=/opt/openssl --openssldir=/usr/local/ssl   //预编译，到指定安装路径，生成Makefile文件，-t参数可测试编译情况，--prefix：指定安装目录；--openssldir：指定openssl配置文件路径；加shared还可指定创建动态链接库
make 	//编译，如果编译失败，可执行./make clean,或者编译前用./make test测试编译情况而不直接编译
make install 		//编译成功后安装

注意：编译失败可能需要更新zlib（http://www.zlib.net/）和gcc，注意提示
gcc -v //确定当前gcc版本，按需升级
cat /usr/lib64/pkgconfig/zlib.pc //确定当前zlib版本，按需升级
或尝试yum upgrade zlib zlib-devel gcc* -y //update升级包保留旧版本，upgrade升级后删除旧版本，如果不跟具体包名，update级所有包同时也升级软件和系统内核（升级环境可能会导致生成事故)，upgrade 升级后，只升级所有包，不升级软件和系统内核。这不同于ubuntu环境，update 是同步 /etc/apt/sources.list 和 /etc/apt/
sources.list.d 中列出的源的索引，以变upgrade时获取到最新的软件包进行安装，在执行 upgrade 之前要执行 update才能从最新软件包更新。

3、替换原有旧openssl文件：

1）/usr/local/bin：

ln -sf /usr/local/openssl/bin/openssl  /usr/bin/openssl
ln -s /usr/local/ssl/include/openssl /usr/include/openssl

2）配置文件/usr/local/ssl：备份
3）库文件检查：/usr/local/lib64 //根据实际的环境库文件位置配置，有的为usr/local/ssl/lib，注意具体位置。如不放心，整个库文件夹备份。
4)验证：ldconfig -v|grep ssl //确定链接库
5）版本验证：openssl version
如果执出现openssl: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory错误，即缺少相关库依赖，请检查以下库文件，执行：

ln -s /usr/local/lib/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1
ln -s  /usr/local/lib/libssl.so.1.1 /usr/lib64/libssl.so.1.1

ldconfig -v|grep ssl   //确定链接库正常

echo "/usr/local/lib64" >> /etc/ld.so.conf    //将新的库文件地址写入记录so库的配置文件，更新动态链接库数据

再次验证：openssl version

三、附录1：关于ssl算法涉及的漏洞

1）获取当前查询OpenSSH应用的算法：

SSH 提供了一些可用的加密算法。可以在/etc/ssh/ssh_config or ~/.ssh/config文件中看到

在这里插入图片描述

默认的，SSH 会使用 3DES 算法，但des会被某漏洞利用，TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。如果想从ssh移除某种算法，删掉即可。

sshd -T |grep ciphers   //命令方式：输出如下
ciphers aes256-ctr,aes192-ctr,aes128-ctr,aes256-cbc,aes192-cbc,aes128-cbc,3des-cbc

2）查看linux服务器上支持的ssh对称秘钥：

ssh -Q cipher   //输出如下

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com

3）查看支持身份验证加密的对称秘钥

ssh -Q cipher-auth   //输出如下
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com

4）查看支持的消息完整性秘钥

ssh -Q mac   //输出如下

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
  1. 指定秘钥算法进行ssh连接

用法：ssh -oCiphers=aes128-ctr server_IP

示例验证ssh-rsa加密算法的ssh连接：

ssh -oHostKeyAlgorithms=-ssh-rsa user@host

如果主机密钥验证失败，并且没有其他受支持的主机密钥类型可用，则该主机上的服务器ssh软件应升级。

在这里插入图片描述
6）Powershell集成OPENSSL客户端

（1）下载OPENSSL，地址为https://sourceforge.net/projects/sshwindows/?source=typ_redirect
（2）解压缩后，双击安装，只需安装客户端；
在这里插入图片描述

（3）之后配置环境变量：C:\Program Files (x86)\OpenSSH\bin"加入到PATH下；

（4）验证：

在这里插入图片描述
（5）TLS证书生成：

openssl genrsa -out ca.key 1024
openssl req -new -key ca.key -out ca.csr

在这里插入图片描述
（6）测试：

在这里插入图片描述
7）禁用弱秘钥交换算法和弱MAC算法

漏洞描述：

远程 SSH 服务器被配置为允许被认为是弱的密钥交换算法。这是基于 IETF 草案文档 Key Exchange (KEX) Method Updates and Recommendations for Secure Shell (SSH) draft-ietf-curdle-ssh-kex-sha2-20。第 4 节列出了关于不应和不得启用的密钥交换算法的指南。这包括： diffie-hellman-group-exchange-sha1 diffie-hellman-group1-sha1 gss-gex-sha1-* gss-group1-sha1-* gss-group14-sha1-* rsa1024-sha1 注意这个插件只检查SSH 服务器的选项，它不检查易受攻击的软件版本

#检测
nmap --script ssh2-enum-algos -sV -p 22 dst_ip
#修改/etc/ssh/sshd_config,在文件末尾添加以下内容，完成后重启ssh服务
 
Ciphers aes128-ctr,aes192-ctr,aes256-ctr
MACs hmac-sha1,hmac-ripemd160

#验证
ssh -vv -oCiphers=aes128-cbc,3des-cbc,blowfish-cbc <server_ip>
ssh -p 12022 -vv -oMACs=hmac-md5 <server_ip>  #成功后会提示使用hmac-md5登录失败

四、附录2：ssh参数回顾

1）使用 -l 选项参数，指定用非当前用户登录，等同与ssh 指定用户@sshd_IP

2）用 *-p 选项，后面在加上 SSH 端口号，指定sshd端口

3） -v 选项参数，使用调试模式验证建立的 SSH 连接情况

4）指定ssh连接的源地址，适用于客户端有多于两个以上的 IP 地址，难分清楚默认使用哪一个 IP 连接到 SSH 服务器，使用 -b 选项来指定一个IP 地址。这个 IP 将会被使用做建立连接的源地址。

示例：$ ssh -b 192.168.10.12 -l blue 192.168.10.205

5）使用 -F 选项指定要使用的ssh配置文件

默认情况下，ssh 会使用位于 /etc/ssh/ssh_config 的配置文件。这个配置文件作用于系统的所有用户。但你想要为特定的用户指定特殊的设置的话，可以把配置放入 ~/.ssh/config 文件中。如果此文件不存在，可以手工创建一个。

示例：比如创建my_ssh_config文件

Host 192.168.10.*
ForwardX11 yes
PasswordAuthentication yes
ConnectTimeout 10
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
Protocol 2
HashKnownHosts yes

$ ssh -F /~/.ssh/my_ssh_config 192.168.10.205

6）使用-X参数来使用 SSH X11 Forwarding

某些时候，想把服务端的 X11 应用程序显示到客户端计算机上，SSH 提供了 -X 选项。但要启用这功能，我们需要在服务器端，在 /etc/ssh/ssh_config 文件中的行设置成 ForwardX11 yes 或者 X11Forwad yes，以启用 X11 Forwarding，重启 SSH 服务程序。

然后在客户端，输入 ssh -X user@host:

$ ssh -X blue@192.168.10.205

登陆后输入：$ echo $DISPLAY //检查，可以看到向如下类似输出

localhost:10:0

随后就可以运行应用了，仅仅只能输入应用程序的命令。比如想运行 xclock 程序，输入：

$ xclock //检查xclock 确实是运行在远端系统的，但它会在你的本地系统里显示了。

五、附录3：对应windows漏洞处理：

1）打开windows的Internet属性，找到高级–安全：取沟TLS1.0和1.1，只保留1.2;1.3也不勾选。

在这里插入图片描述
2）打开组策略gpedit.msc,禁用弱密码算法即可，配置如下：

在这里插入图片描述

#默认如下，没有IDEA
TLS_AES_256_GCM_SHA384、TLS_AES_128_GCM_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256、TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256、TLS_DHE_RSA_WITH_AES_256_GCM_SHA384、TLS_DHE_RSA_WITH_AES_128_GCM_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_AES_256_GCM_SHA384、TLS_RSA_WITH_AES_128_GCM_SHA256、TLS_RSA_WITH_AES_256_CBC_SHA256、TLS_RSA_WITH_AES_128_CBC_SHA256、TLS_RSA_WITH_AES_256_CBC_SHA、TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_3DES_EDE_CBC_SHA、TLS_RSA_WITH_NULL_SHA256、TLS_RSA_WITH_NULL_SHA、TLS_PSK_WITH_AES_256_GCM_SHA384、TLS_PSK_WITH_AES_128_GCM_SHA256、TLS_PSK_WITH_AES_256_CBC_SHA384、TLS_PSK_WITH_AES_128_CBC_SHA256、TLS_PSK_WITH_NULL_SHA384、TLS_PSK_WITH_NULL_SHA256

对应英文界面：

在这里插入图片描述

默认启用后的密码算法如下：

TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA（现场就这一个移除即可）,TLS_RSA_WITH_NULL_SHA256,TLS_RSA_WITH_NULL_SHA,TLS_PSK_WITH_AES_256_GCM_SHA384,TLS_PSK_WITH_AES_128_GCM_SHA256,TLS_PSK_WITH_AES_256_CBC_SHA384,TLS_PSK_WITH_AES_128_CBC_SHA256,TLS_PSK_WITH_NULL_SHA384,TLS_PSK_WITH_NULL_SHA256

但上述列表有个限制，不能超过 1,023 个字符；上述的算法列表是史蒂夫·吉布森(Steve Gibson)在GRC.com上汇总的列表，可推荐使用。列表必须是一个不间断的字符串，每个密码都用**逗号**分隔。 我们需要复制格式化的文本并将其粘贴到“ SSL Cipher Suites”字段中，然后单击“确定”。 最后，要使更改生效，必须重新启动OS。

注：从密码套件列表中移除标识为弱的密码套件，可参考http://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx；对于 Apache TomCat 服务器，请遵循以下指示信息：参照示例；移除默认的3DES，DES

TLS_AES_256_GCM_SHA384、TLS_AES_128_GCM_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256、TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256、TLS_DHE_RSA_WITH_AES_256_GCM_SHA384、TLS_DHE_RSA_WITH_AES_128_GCM_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_AES_256_GCM_SHA384、TLS_RSA_WITH_AES_128_GCM_SHA256、TLS_RSA_WITH_AES_256_CBC_SHA256、TLS_RSA_WITH_AES_128_CBC_SHA256、TLS_RSA_WITH_AES_256_CBC_SHA、TLS_RSA_WITH_AES_128_CBC_SHA、、TLS_RSA_WITH_NULL_SHA256、TLS_RSA_WITH_NULL_SHA、TLS_PSK_WITH_AES_256_GCM_SHA384、TLS_PSK_WITH_AES_128_GCM_SHA256、TLS_PSK_WITH_AES_256_CBC_SHA384、TLS_PSK_WITH_AES_128_CBC_SHA256、TLS_PSK_WITH_NULL_SHA384、TLS_PSK_WITH_NULL_SHA256

验证：gpupdate /target:computer，在【PowerShell】上执行命令：Get-TlsCipherSuite

在这里插入图片描述

3）删除windows默认CA证书

运行—mmc—打开【管理控制台】–文件—添加/删除管理单元：

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
查看确认后，删除默认证书：
在这里插入图片描述

在这里插入图片描述
重新导入/配置新的CA证书：（可生产新的CA证书/或Linux生产证书导入到Windows，默认的证书采用TLS1.0的加密方式，Nessus等扫描器会提示“脆弱的加密"，报漏洞）

在这里插入图片描述
在这里插入图片描述
或者导入个人目录，然后再授权：

在这里插入图片描述在这里插入图片描述
添加 NETWORK SERVICE 用户，并授予读权限：
在这里插入图片描述
打开注册表，定位到：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp ，然后添加如下项：SSLCertificateSHA1Hash，类型REG_BINARY，

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "SSLCertificateSHA1Hash" /t REG_BINARY /d "指纹" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v "Enabled" /t REG_DWORD /d "1" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v "DisabledByDefault" /t REG_DWORD /d "0" /f

RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters

在这里插入图片描述
打开上述新增CA证书的属性值，查看 详细信息 中选择 指纹 ，记录下指纹的值，写入到如下图所示，数值框内:
在这里插入图片描述

4）注册表方式：（请谨慎选择，未验证）

1>打开文本文件，粘贴一下内容，保存为*.reg文件，导入注册表重启（导入前请先备份注册表）

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL]
"EventLogging"=dword:00000001


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\AES 128/128]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\AES 256/256]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56]
"Enabled"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\NULL]
"Enabled"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128]
"Enabled"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]
"Enabled"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]
"Enabled"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 64/128]
"Enabled"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168/168]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\CipherSuites]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\MD5]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\SHA]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\Diffie-Hellman]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\PKCS]
"Enabled"=dword:ffffffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:0000ffff


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000

如果上述验证无效，尝试以下内容：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL]
"EventLogging"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\AES 128/128]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\AES 256/256]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\NULL]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 56/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 64/128]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168/168]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\CipherSuites]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\MD5]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\SHA]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\Diffie-Hellman]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\PKCS]
"Enabled"=dword:ffffffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:0000ffff

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"Enabled"=dword:ffffffff
"DisabledByDefault"=dword:00000000

4）手动修改注册表 (Regedt32.exe)

1>：找到计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders

在这里插入图片描述

备份完成后修改：

1>禁止的协议可以在Protocol项里面（即SCHANNEL\Protocols 子项下）新建项-名字跟需要禁止的协议的名字相同:

在这里插入图片描述
在目标协议的项下面新建Client和Server两个项，同时新建DisableByDefault和Enable两个DWORD(32 位)

“Enabled”=dword:00000000

“DisabledByDefault”=dword:00000001（禁用协议）

  • 禁用 TLS 1.0
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]“Enabled”=dword：00000000
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]“DisabledByDefault”=dword：00000001
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]“Enabled”=dword：00000000
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]“DisabledByDefault”=dword：00000001
    \
  • 禁用TLS1.1
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]“Enabled”=dword：00000000
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]“DisabledByDefault”=dword：00000001
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]“Enabled”=dword：00000000
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]“DisabledByDefault”=dword：00000001
    \
  • 禁用 TLS 1.2
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] “Enabled”=dword:00000000
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] “DisabledByDefault”=dword:00000001
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] “Enabled”=dword:00000000
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] “DisabledByDefault”=dword:00000001

注：“Protocols”项下的注册表项中的“DisabledByDefault”值不优先于在包含 Schannel 凭据数据的 SCHANNEL_CRED 结构中定义的“grbitEnabledProtocols”值。

禁用TLS1.0和1.1，禁用 SSL 2.0，管理员cmd如下执行：

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client" /v "Enabled" /t REG_DWORD /d "0" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client" /v "DisabledByDefault" /t REG_DWORD /d "1" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client" /v "Enabled" /t REG_DWORD /d "0" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client" /v "DisabledByDefault" /t REG_DWORD /d "1" /f

reg add "
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client" /v "Enabled" /t REG_DWORD /d "0" /f

reg add "
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client" /v "DisabledByDefault" /t REG_DWORD /d "1" /f


RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters

Poershell脚本执行：

#禁用 TLS 1.1
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.1 has been disabled.'

#禁用 TLS 1.2
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.2 has been disabled.'

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

**SCHANNEL\Ciphers 子项：**用于控制对称算法（如 DES 和 RC4）的使用。找到SCHANNEL\Ciphers\，新建子项：Triple DES 168和DES 56/56

在这里插入图片描述

启用或禁用其他密码套件:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Cryptography\Configuration\Local\SSL\00010002中删除特定密码来禁用这些密码:

在这里插入图片描述

TLS_AES_256_GCM_SHA384
TLS_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA  #删掉这一条
TLS_RSA_WITH_NULL_SHA256
TLS_RSA_WITH_NULL_SHA
TLS_PSK_WITH_AES_256_GCM_SHA384
TLS_PSK_WITH_AES_128_GCM_SHA256
TLS_PSK_WITH_AES_256_CBC_SHA384
TLS_PSK_WITH_AES_128_CBC_SHA256
TLS_PSK_WITH_NULL_SHA384
TLS_PSK_WITH_NULL_SHA256

在这里插入图片描述

同理，要启用密码套件，请将其字符串值添加到 Functions 多字符串值键。 例如，如果要启用TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521，则将它添加到字符串中。更多参看官方文档。

5）借助IISCrypto软件加固

在这里插入图片描述
在这里插入图片描述
应用之后会在注册表创建相关协议在这里插入图片描述
在这里插入图片描述
之后重启检测即可。或执行

#重启explorer
taskkill /im explorer.exe /f
start "" "C:\WINDOWS\explorer.exe"
或
RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters

6）如何实现远程登录时显示：正在加密远程连接

在这里插入图片描述

在这里插入图片描述
启用：要求使用网络级别的身份验证对远程连接的用户进行身份验证”；如果不想看到的话就关闭：
在这里插入图片描述

羌俊恩
关注
  • 77
    点赞
  • 踩
  • 285
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 57
    评论
专栏目录
Windows Server CVE-2016-2183 SSL/TLS协议信息泄露漏洞修复脚本
06-09
Windows Server 合规漏洞修复，修复Windows Server CVE-2016-2183 SSL/TLS协议信息泄露漏洞修复脚本，基于Windows PowerShell， 兼容Windows Server 2016/2019，防止Sweet32 生日攻击
k8s安全测评漏洞：SSL-TLS协议信息泄露漏洞(CVE-2016-2183)
最新发布
dzqxwzoe的博客
05-30 1898
扫描结果重点关注warnings，64-bit block cipher 3DES vulnerable to SWEET32。k8s组件使用了IDEA、DES和3DES等算法，修改配置文件禁用上述算法即可。增加后kube-apiserver漏洞即修复成功。attack，漏洞修复成功则没有该项提示。可以看到没有了warnings这项了。可以看到没有了warnings这项了。可以看到没有了warnings这项了。可以看到没有了warnings这项了。增加后etcd漏洞即修复成功。只需要修复最后一项即可。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】
冰恋云的专栏
05-21 3260
2.2 漏洞详情解决方案：上面已经提到了，服务器是linux系统。
SSL/TLS协议信息泄露漏洞(CVE - 2016 - 2183)/SWEET32漏洞修复工具
08-28
用于移除系统中可能存在的脆弱加密套件 支持win7及以上系统，包括Server版本 需要手动重启后生效
heartbleedscanner:用于OpenSSL内存泄漏的网络扫描仪（CVE-2014-0160）
05-07
令人流血的扫描仪 用于OpenSSL内存泄漏的网络扫描仪（CVE-2014-0160） -t参数可优化超时（以秒为单位）。 -f参数记录易受攻击的系统的内存泄漏。 -n参数扫描整个网络。 -i参数从列表文件进行扫描。 如果您已经有目标，则很有用。 -r参数随机化IP地址，以避免线性扫描。 -s参数来利用需要纯文本命令来启动SSL / TLS（HTTPS / SMTP / POP3 / IMAP）的服务样品用法： 要扫描您的本地192.168.1.0/24网络中的HB漏洞（https / 443）并将泄漏保存到文件中： python heartbleedscan.py -n 192.168.1.0/24 -f localscan.txt -r 根据SMTP over SSL / TLS扫描同一网络并随机分配IP地址python heartbleedscan.py -n 192.168.1.
修复 K8s SSL/TLS 漏洞（CVE-2016-2183）指南
热门推荐
KubeSphere
02-21 1万+
测试服务器配置主机名IPCPU内存系统盘数据盘用途2440200Ansible 运维控制节点41640200+20041640200+20041640200+2002840200+2002840200+2002840200+200harbor2840200Harbor合计822843202800测试环境涉及软件版本信息2.8.203.3.0v1.24.19.5.17.17.52.5.1。
安全合规之CVE-2016-2183
Eric.zhong
02-27 2106
安全部门脆弱性扫描到如下的风险漏洞要求系统上线必须要修复完毕。不过我仔细的看了安全部门返回的报告，它是针对Windows Server 2019远程桌面端口进行风险报告…这是刷存在感了吗？哎，没有办法先做调查确认，然后再去考虑修复。此远程桌面是不对外发布的，但也需要针对此问题进行修复…才叫折磨人…
服务器——SSL/TLS协议信息泄露漏洞(CVE-2016-2183)修复办法
xhy1999的博客
11-17 7996
近期某台Windows Server服务器的远程连接端口(3389)被扫出了SSL/TLS协议信息泄露漏洞(CVE-2016-2183),尝试了网上很多复制来复制去的"解决方法",直接导致堡垒机连不上服务器,每次连不上服务器又得去找服务器提供方,真的非常麻烦,在此不得不吐槽一下某些不负责任的复制粘贴,同时,记录下真正的解决方案以供大家参考。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)漏洞修复升级
熬夜波比
08-18 6339
/Configure -des -Dprefix=/usr/local/perl -Dusethreads –Uversiononly #配置参数。mkdir /usr/local/perl #创建安装目录。cd perl-5.28.2.tar.gz #进入安装目录。tar -zxvf perl-5.28.2.tar.gz #解压。12.查看版本后会报错这是库位置不正确。3.查看当前OpenSSL版本。10.更新链接库数据。.............
CVE-2016-2183漏洞复现
网络战争的博客
09-06 2002
CVE-2016-2183是OpenSSL库中的一个漏洞，它影响了所有版本的OpenSSL 1.0.2之前，包括1.0.1和1.0.0版本。其中，`-cert`参数指定服务器证书，`-key`参数指定服务器密钥，`-accept`参数指定服务端口号，`-www`参数表示启用HTTP服务器。建议用户及时更新OpenSSL版本来修复该漏洞。其中，`-connect`参数指定要连接的主机和端口号，`-cipher`参数指定使用的密码套件。在此过程中，您需要设置一些证书相关的信息，如国家、地区、组织等。
解决 SSL/TLS协议信息泄露漏洞(CVE-2016-2183) ps1 文件
12-26
解决 SSL/TLS协议信息泄露漏洞(CVE-2016-2183) ps1 文件
sys-exploits:漏洞利用和漏洞扫描脚本软件的集合
06-20
Heartbleed 是 OpenSSL 安全库中一个臭名昭著的漏洞，发生在 TLS/SSL 的心跳扩展协议中。它的编号是 CVE-2014-0160，属于缓冲区溢出错误。Heartbleed 允许攻击者通过不正确验证心跳响应的数据长度，从而获取服务器或...
k8s安全测评漏洞：SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
Yang_RR的博客
05-09 1109
k8s组件使用了IDEA、DES和3DES等算法，修改配置文件禁用上述算法即可。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
violentcloud的博客
12-29 1万+
标签：TLS bin include openssl 2183 so.1 usr 2016 local #记录一次升级Openssl的过程（后附个人遇到的困难与解决方法） 1、centos上直接升级： openssl version -a //确认当前版本，备份证书文件和秘钥文件 cp -r /usr/bin/openssl /usr/bin/openssl_bak 【备份也可以不做】 cp -r /usr/include/openssl /usr/include/openssl_bak【备份也可以不做】
【漏洞修复】SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
薄炙厚词的博客
10-20 5837
TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。TLS, SSH, IPSec协商及其他产品中使用的IDEA、DES及Triple DES密码或者3DES及Triple 3DES存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。
nginx漏洞CVE-2016-2183处理
qq_44209441的博客
01-08 856
所以，使用 OpenSSL 1.1.1j 版本的 NGINX 不受此漏洞的影响，因为 OpenSSL 1.1.1 版本解决了该漏洞。进入以前版本的nginx目录，找到nginx程序，执行 nginx -V，复制configure arguments。下载nginx源码包，重新编译，执行时加上 --with-openssl=/path/to/openssl。然后执行make，不用执行make install，用/objs目录下的nginx替换以前的nginx。，指定相应的新版本的openssl模块。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 57
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

羌俊恩

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值