阿里云部署站点扫出 SSL/TLS协议信息泄露漏洞(CVE-2016-2183)解决方案

最新推荐文章于 2024-05-21 23:23:05 发布
最新推荐文章于 2024-05-21 23:23:05 发布
阅读量133 收藏
点赞数 1
分类专栏： 项目中遇到的问题 文章标签： 阿里云
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/youshijifen/article/details/138280140
版权
文章讲述了在阿里云环境下，尽管WAF配置了特定的SSL版本和加密算法，但使用NMAP仍检测到3DES。解决方案是通过编辑域名设置，开启非SNI客户端兼容选项，解决了此问题。
摘要由CSDN通过智能技术生成

前提条件：

1、该站点部署在阿里云环境中。

2、已在waf配置中定义SSL版本和SSL加密算法。

存在的问题：

1、使用nmap检查时仍然提示使用3DES算法

解决方法：

点击站点编辑中域名，点击开启“非 SNI 客户端兼容”，再次复扫问题解决。

*——*
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
解决 SSL/TLS协议信息泄露漏洞(CVE-2016-2183) ps1 文件
12-26
解决 SSL/TLS协议信息泄露漏洞(CVE-2016-2183) ps1 文件
Windows Server CVE-2016-2183 SSL/TLS协议信息泄露漏洞修复脚本
10-06
Windows Server 合规漏洞修复，修复Windows Server CVE-2016-2183 SSL/TLS协议信息泄露漏洞修复脚本，基于Windows PowerShell， 兼容Windows Server 2016/2019，防止Sweet32 生日攻击
SSL-TLS类安全漏洞及SLB安全漏洞问题
m0_59598029的博客
04-21 1384
测试环境，域名直接打到nginx上，所以在nginx的配置上修改TSL相关配置，都可以直接在域名中体现，手动设置1.2并排除DES-CBC3-SHA加密算法套件，就可以解决改问题。（2.4可以印证）。生产环境，开了阿里云的SLB，这导致域名并非直接打到nginx上。域名先打到SLB上，然后SLB在负载到nginx上，于是基于这种机制，对于nginx的修改，并不会对域名相关的漏洞有影响。不同点：SLB。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)修复
皮皮虾的博客
07-26 1万+
SSL/TLS协议信息泄露漏洞(CVE-2016-2183) 详细描述 TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。 TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。 解决办法 建议：避免使用DES算法 1、OpenSSL Security Advisory [22 Sep 2016] 链接：https://www.openssl.org/news/se
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】
最新发布
冰恋云的专栏
05-21 2200
2.2 漏洞详情解决方案：上面已经提到了，服务器是linux系统。
k8s安全测评漏洞：SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
Yang_RR的博客
05-09 1006
k8s组件使用了IDEA、DES和3DES等算法，修改配置文件禁用上述算法即可。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】处理
热门推荐
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
12-30 21万+
概述 SSL/TLS协议信息泄露漏洞(CVE-2016-2183)漏洞： TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。 风险级别：低 该漏洞又称为SWEET32（https://sweet32.info）是对较旧的分组密码算法的攻击，它使用64位的块大小，缓解SWEET32攻击OpenSSL 1.0.1和OpenSSL 1.0.2中基于DES密码套件从“高”密码字符串组移至“中”；但Op
服务器漏洞修复之SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
tootsy_you的博客
06-14 7636
具有足够资源的中间人攻击者可利用此漏洞,通过“birthday”攻击检测会在固定密码与已知纯文本之间泄露 XOR 的冲突,进而泄露密码文本（例如安全 HTTPS Cookie）,并可能导致劫持经认证的会话。请注意,在客户端和服务器之间通过相同的 TLS 连接发送大量请求的能力,是发动此攻击的重要条件。如果单个链接允许的请求数量有限,则会减轻该漏洞的严重性。虽然目前可以在不启用renegotiation进程的情况下使用HTTPS，但很多服务器的默认设置均启用了renegotiation功能。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
rainjm的博客
01-11 4006
SSL/TLS协议信息泄露漏洞(CVE-2016-2183) TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。 TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。
SSL/TLS协议信息泄露漏洞(CVE - 2016 - 2183)/SWEET32漏洞修复工具
08-28
用于移除系统中可能存在的脆弱加密套件 支持win7及以上系统，包括Server版本 需要手动重启后生效
IISCrypto 解决SSL/TLS协议信息泄露漏洞的工具
03-22
Windows 2008、2012、2016 服务器版本 SSL/TLS协议信息泄露漏洞(CVE-2016-2183)，SSL 配置工具
CVE-2016-2183
龙卷风摧毁停车场
03-07 5565
TLS, SSH, IPSec 协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。该漏洞又称为 SWEET32，是对较旧的分组密码算法的攻击，使用 64 位的块大小，缓解 SWEET32 攻击 OpenSSL 1.0.1 和 OpenSSL 1.0.2 中基于 DES 密码套件从“高”密码字符串组移至“中”；但 OpenSSL 1.1.0 发布时自带这些，默认情况下禁用密码套件。
漏扫常见(可验证)漏洞复现方法
qq_50854662的博客
04-21 4987
漏扫常见漏洞复现
SSL/TLS 协议信息泄露漏洞(CVE-2016-2183)【原理扫描】
qq_45373631的博客
05-09 8102
SSL/TLS协议 RC4信息泄露漏洞被扫描出来，一般出现的问题在ssh和https服务上使用了DES、3DES算法，禁用这些算法就好了。2.重启nginx服务 systemctl restart nginx.service。其它中间件原理是一样的，找到中间件的配置文件 禁用!1.禁止apache服务器使用RC4加密算法。1.禁止apache服务器使用RC4加密算法。1.ssh禁用DES、3DES算法。重启lighttpd 服务。2.重启apache服务。2.重启sshd服务。然后就不会扫描出来了。
【漏洞修复】SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
薄炙厚词的博客
10-20 5763
TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。TLS, SSH, IPSec协商及其他产品中使用的IDEA、DES及Triple DES密码或者3DES及Triple 3DES存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。
SSL/TLS协议信息泄露漏洞（CVE-2016-2183）
12-08
SSL/TLS协议信息泄露漏洞（CVE-2016-2183）是一种安全漏洞，攻击者可以利用此漏洞对加密的SSL/TLS连接进行中间人攻击，从而窃取敏感信息。该漏洞是由于SSL/TLS协议中使用的块密码算法DES和3DES的设计缺陷导致的。攻击者可以通过对加密流量进行分析，利用生日攻击方法破解加密数据，从而获取敏感信息。 针对该漏洞，需要对使用DES和3DES算法的SSL/TLS连接进行升级或禁用。具体的修复方法因操作系统和应用程序而异。在Windows操作系统中，可以通过更新操作系统补丁或修改注册表项来修复该漏洞。同时，也可以使用第三方工具或脚本来进行修复。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值