Linux Centos7 OpenSSH版本低導致的安全漏洞 升級OpenSSH和OpenSSl來修復漏洞

      由於最近公司專案需要重新部署到伺服器，檢查出的安全漏洞，其中 一項就是Openssh版本低過低所以導致的遠端執行漏洞,如下：

於是我就要進升級版本填補漏洞，首先

1、檢視OpenSSH版本，在伺服器輸入以下命令：

命令：ssh -V

得到:

2、確認系統是否已經確認安裝gcc編譯器:

命令：gcc -v

得到：

如果沒安裝的同學可以參考：

https://www.imooc.com/article/17780?block_id=tuijian_wz%20yum%20-y%20install%20gcc%20gcc-c++%20kernel-devel%20//

3.升級Zlib

下載最新版本的Zlib：Zlib 官方網站：http://www.zlib.net/

目前最新版本的 Zlib 是 zlib-1.2.11.tar.gz

進入你的下載資料夾下載：

命令：cd /usr/local/src
命令：wget -c http://www.zlib.net/zlib-1.2.11.tar.gz

得到:

編譯安裝Zlib:

解壓命令： tar xzvf zlib-1.2.11.tar.gz
命令：cd zlib-1.2.11/
編譯：./configure --prefix=/usr/local/zlib
安裝：make install

現在zlib 編譯安裝在 /usr/local/zilib中了

4.升級openssl：

確認是否安裝了SSI和檢視版本：

命令：openssl version -a 或者 openssl version

目前能與Openssh配合的版本就是1.02版本

命令：cd /usr/local/src
命令：sudo wget http://www.openssl.org/source/openssl-1.0.2j.tar.gz
命令：sudo tar zxf openssl-1.0.2j.tar.gz
命令：cd openssl-1.0.2j
命令：sudo ./config --prefix=/usr/local/openssl
命令：sudo make
命令：sudo make install
 

備註：/usr/bin/openssl為舊的Openssl檔案，進行下一步之前記得備份一下

執行以下命令進行更換舊版的Openssl:

重新命名原來的openssl命令：sudo mv /usr/bin/openssl /usr/bin/openssl.bak
將安裝好的openssl 的openssl命令軟連到/usr/bin/openssl： 
命令:sudo ln -sf /usr/local/openssl/bin/openssl /usr/bin/openssl
切換到root許可權：sudo bash
在/etc/ld.so.conf檔案中寫入openssl庫檔案的搜尋路徑: echo "/usr/local/openssl/lib" >> /etc/ld.so.conf
使修改後的/etc/ld.so.conf生效:ldconfig -v
檢視版本：openssl version

參考來至：http://www.cnblogs.com/dinglin1/p/9047818.html

至此，Openssl升級完畢

5、關閉selinux 

命令：sudo vim /etc/sysconfig/selinux

修改 SELINUX=disabled，輸入：wq 儲存退出

6、安裝telnet並開起來，防止意外導致ssh無法連線

1、檢測telnet-server的rpm包是否安裝：

命令：rpm -qa telnet-server 

如沒有輸出就要安裝，安裝命令：

命令：sudo yum install telnet-server

然後發現沒有安裝包的錯誤：

只能通過下載安裝包來，提供telnet的rpm包下載網址：https://pkgs.org/download/telnet-server。我下載的 telnet-server-0.17-64.el7.x86_64.rpm版本。下載安裝命令：

命令：cd download
命令：wget http://mirror.centos.org/centos/7/os/x86_64/Packages/telnet-server-0.17-64.el7.x86_64.rpm
命令：sudo yum install 	telnet-server-0.17-64.el7.x86_64.rpm
命令：rpm -qa telnet-server 
命令：telnet-server-0.17-64.el7.x86_64.rpm
命令：rpm -qa telnet-server

1、檢測xinetd 的rpm包是否安裝：

命令：rpm -qa xinetd

如沒有輸出就要安裝，安裝命令：

命令：sudo yum install xinetd

然後發現又是沒有安裝包的錯誤：

只能通過下載安裝包來，我下載的是telnet-server-0.17-64.el7.x86_64.rpm版本。下載安裝命令：

​
命令：wget http://mirror.centos.org/centos/7/os/x86_64/Packages/xinetd-2.3.15-13.el7.x86_64.rpm
命令：sudo yum install xinetd-2.3.15-13.el7.x86_64.rpm

​

安裝完成後，將xinetd服務和telnet加入開機自啟動:

命令：sudo systemctl enable xinetd.service
命令：sudo systemctl enable telnet.socket

最後，啟動以上兩個服務即可：

由於telnet服務也是由xinetd守護的，所以安裝完telnet-server，要啟動telnet服務就必須重新啟動xinetd 。

命令：sudo systemctl start telnet.socket
命令：sudo systemctl start xinetd

參考來至：https://www.cnblogs.com/lixuwu/p/6102444.html

預設情況下，系統是不允許root使用者telnet遠端登入的。如果要使用root使用者直接登入，需設定如下內容:

echo  'pts/0'  >>/etc/securetty
echo 'pts/1' >>/etc/securetty

以上命令需要root許可權才能執行，最後才重啟服務

重啟服務：service  xinetd  restart

而且還開通相對應的23埠，這裡我就不多說了，因為我們公司埠是統一管理的，接下來在你計算機上開啟telnet客戶端：

然後測試開啟cmd.exe看看能不能登入，telnet+IP,回車：

登入成功，接下來我們就可以安心地升級openSSH

7、升級openSSH

備份舊ssh配置資料夾 /etc/ssh ：

sudo cp -rf /etc/ssh /etc/ssh.bak

下載openSSH安裝包：

命令：cd download（這是我自己的下載資料夾）

命令：sudo wget http://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-7.4p1.tar.gz

提供個下載地址：http://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/

接下來就是解壓安裝OpenSSH:

命令：sudo tar -zxvf openssh-7.4p1.tar.gz
命令：cd openssh-7.4p1
命令：sudo ./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib --with-md5-passwords --with-tcp-wrappers

發現是缺各種Open-devel依賴包，然後去網上下載rpm安裝包，發現出現各種問題，搞了好久，賊煩，就是不對應版本，浪費了一天多時間，又是重新安裝openssl什麼的，發現並沒有用，得安裝一個Openssl-fips，安裝以後又出現什麼缺pam-devel包的錯誤，然後還是一樣唉，懷疑是不是映象源，怎麼啥安裝包都沒有，都得下載，於是去更換映象源，發現映象源名字改了，所以伺服器不能識別了，改為原來的名字：

命令：cd /etc/yum.repos.d
命令：sudo mv /etc/yum.repos.d/CentOS-Base.repo.backup  /etc/yum.repos.d/CentOS-Base.repo

現在發現可以各種yum install 各種依賴包了。。。。說多了都是淚了，開發兼職運維的淚 

接著安裝兩個依賴包：

命令：sudo yum install openssl-devel
命令：sudo yum install pam-devel

然後重新編譯：

安裝命令：sudo make 或者 sudo make install

到這裡我的會出現說Key的許可權過於open，所以我改成600了：

命令：cd /etc/ssh/

命令：chmod 600 ssh_host_ecdsa_key

命令：chmod 600 ssh_host_rsa_key

命令：chmod 600 ssh_host_ed25519_key

複製配置

命令：sudo cp -p sshd_config /etc/ssh/sshd_config

檢視版本：ssh -V

配置允許root使用ssh：

命令：sudo vim /etc/ssh/sshd_config

取消註釋 PasswordAuthentication yes

重啟ssh服務：

命令：sudo service sshd restart

如果重啟不了就重啟伺服器，再重啟，至此Openssh升級完畢