linux openssh7.7及一下漏洞 CVE编号CVE-2018-15473

72 阅读 0 评论 48 点赞

我是靠谱客的博主务实胡萝卜，最近开发中收集的这篇文章主要介绍linux openssh7.7及一下漏洞 CVE编号CVE-2018-15473，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

修复流程
下载安装包 > 备份旧版 ssh 配置 > 安装依赖包 > 其他准备工作 > 编译安装 > 创建软连接等文件 > 修改配置允许 root 登录 > 配置开机启动 > 检查是否安装成功 > 完成

风险概述
此方案升级过程不会关闭旧版 ssh 服务，无需担心安装失败无法导致远程连接。如果服务器在外地机房且无人值守，请谨慎操作。

修复依据根据漏洞原理修复

操作前提无

查看版本：openssh -V

具体操作步骤如下：

步骤 1
1）下载最新版源码包
下载地址： https://www.openssh.com/releasenotes.html
2）上传包至服务器

步骤 2 备份旧版 SSH
mv /usr/sbin/sshd /usr/sbin/sshd.old
mv /usr/bin/ssh /usr/bin/ssh.old
如果旧版本是源码安装的 OpenSSH，建议备份整个 openssh 目录：
mv /usr/local/openssh /usr/local/openssh.old

步骤 3 安装依赖
yum -y install zlib-devel openssl-devel gcc

步骤 4 解压安装
tar -zxvf openssh-8.8p1.tar.gz
cd openssh-8.8p1
ll /usr/local/
./configure --prefix=/usr/local/openssh
make
make install
ll /usr/local/openss

步骤 5 替换密钥文件
1）备份密钥：
cp -r /usr/local/openssh/etc /usr/local/openssh/etc.bak
2）替换为旧版 SSH 密钥：
cp /etc/ssh/ssh_host_* /usr/local/openssh/etc

步骤 6 验证是否安装成功
1）修改配置文件：vi /usr/local/openssh/etc/sshd_config
将 Port 改为 222
#PermitRootLogin prohibit-password 改为 PermitRootLogin yes
2）启动新版 ssh：
/usr/local/openssh/sbin/sshd
3）从其他服务器上测试远程连接：
ssh IP -p 222如果正常连接则表示安装成功
如果连接失败：请检查是否被防火墙拦截：
systemctl status firewalld
如果开启了防火墙，将其关闭即可：
systemctl stop firewalld

步骤 7 重启 ssh 服务
1）恢复配置文件：
vi /usr/local/openssh/etc/sshd_config
将 Port 改回 22。
2）创建新版 ssh 软连接
ln -s /usr/local/openssh/sbin/sshd /usr/sbin/
ln -s /usr/local/openssh/bin/ssh /usr/bin/
3）重启服务
systemctl restart sshd

重启失败解决办法：
如果出现启动超时的现象，安照以下步骤解决：
1）移除 sshd.service 文件
mv /lib/systemd/system/sshd.service /lib/systemd/system/ssh.service.bak
2）从 openssh 源码包中复制一个 sshd 启动脚本
cp openssh-7.8p1/contrib/redhat/sshd.init /etc/init.d/sshd
3）修改权限
chmod 755 /etc/init.d/sshd
4）添加自启动
chkconfig --add sshd
chkconfig sshd on
5）重启 sshd
systemctl daemon-reexec
systemctl restart sshd

重点

修改后会导致root连接失败，例如xshell登陆提示SSH服务器拒接了面

请修改文件：/usr/local/openssh/etc/sshd_config 这个文件

修改内容：

LoginGraceTime 120
PermitRootLogin yes
StrictModes yes