linux中openssh漏洞修复步骤详解

　　openssh漏洞上次是说linux中一个bug了,下文我给各位整理一下openssh漏洞修复方法,希望能对大家有帮助.
 
　　近期有几台主机上线,上线的主机在进行安全合规扫描时,发现如下openssh漏洞,其中有几个是陈年老漏洞,主要为CVE-2014-1692漏洞(openssh schnorr.c漏洞)为今天一月份的新漏洞,由于主机没有配置外网连接,而且针对suse和redhat不同的版本,所以使用用了源码包编译升级openssh版本的方式修复.
　　一、准备相关包
 
　　zlib-1.2.5.tar.bz2
　　openssl-1.0.1.tar.gz
　　openssh-6.6p1.tar.gz
　　相关包已上传百度云盘上.
 
　　二、准备其他登录方式
 
　　由于其间有卸载ssh的操作,以免登录不上主机,可以选择先配置telnet或者vnc来进行远程操作,这里以telnet为例,如下:
 
　　# vim /etc/xinetd.d/telnet
　　service telnet
　　{
　　        socket_type     = stream
　　        protocol        = tcp
　　        wait            = no
　　        user            = root
　　        server          = /usr/sbin/in.telnetd
　　        disable         = yes
　　}  //phpfensi.com
　　注,如无telnet-server包,需要先安装该包后,再配置以上选项,配置完后,重启xinetd守护进程生效并查看是否有23端口的监听:
 
　　# service xinetd restart
　　# netstat -tunlp
　　安全起见也可以考虑修改下telnet端口或通过iptables进行源地址指定.
 
　　三、程序升级
 
　　1、openssl 包的安装,代码如下:
 
　　# tar -zxvf openssl-1.0.1.tar.gz
　　# cd openssl-1.0.1
　　# ./config -fPIC threads shared
　　# make
　　# make test
　　# make install
　　# mv /usr/bin/openssl /usr/bin/openssl.OFF
　　# mv /usr/include/openssl /usr/include/openssl.OFF
　　//该步骤可能提示无文件，忽略即可
　　# ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
　　# ln -s /usr/local/ssl/include/openssl /usr/include/openssl
　　//移走原先系统自带的openssl，将自己编译产生的新文件进行链接
　　注:不能卸载原openssl包,否则会影响系统的ssl加密库文件,除非你可以做两个软连接libcryto和libssl.
 
　　配置文件搜索路径,代码如下:
 
　　# chmod 755 /usr/local/ssl/lib
　　# echo "/usr/local/ssl/lib" >> /etc/ld.so.conf
　　# /sbin/ldconfig -v
　　# openssl version -a
　　OpenSSL 1.0.1 14 Mar 2012
　　built on:Fri Mar 16 17:14:50 CST 2012
　　platform:linux-x86_64
　　options:  bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
　　compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
　　OPENSSLDIR: "/usr/local/ssl"
　　2、卸载原openssh包.
 
　　备份启动脚本:# cp /etc/init.d/sshd  /root/
 
　　停止SSHD服务:# /sbin/service sshd stop
 
　　卸载系统里原有Openssh:
 
　　# rpm  -qa|grep openssh  //查询系统原安装的openssh包,全部卸载。
　　# rpm -e openssh --nodeps
　　# rpm -e openssh-server --nodeps
　　# rpm -e openssh-clients --nodeps
　　# rpm -e openssh-askpass
　　或rpm -e --nodeps `rpm -qa |grep openssh`
　　3、解压安装zlib包,代码如下:
 
　　# tar －jxvf zlib-1.2.5.tar.bz2 //首先安装zlib库,否则会报zlib.c错误无法进行
　　# cd zlib-1.2.5
　　# ./configure
　　# make&&make install
　　4、升级openssh包,先将将/etc/ssh的文件夹备份,代码如下:
 
　　# mv /etc/ssh /etc/ssh_bak
　　# tar -zxvf openssh-6.6p1.tar.gz
　　# ./configure --sysconfdir=/etc/ssh --with-ssl-dir=/usr/local/ssl  --with-md5-passwords --mandir=/usr/share/man  --with-pam
　　# make
　　# make install
　　编译过程中可能报如下错:
 
　　checking for EVP_sha256... yes
　　checking whether OpenSSL has NID_X9_62_prime256v1... yes
　　checking whether OpenSSL has NID_secp384r1... yes
　　checking whether OpenSSL has NID_secp521r1... yes
　　checking if OpenSSL's NID_secp521r1 is functional... yes
　　checking for ia_openinfo in -liaf... no
　　checking whether OpenSSL's PRNG is internally seeded... yes
　　configure: error: PAM headers not found  --phpfensi.com
　　如果报此错误需要安装相应版本的 pam-devel 包,安装完再重新编译即可.
 
　　5、启动openssh服务
 
　　编译安装好后,可以通过sshd -d 进行验证,如果没有报错就可以重新启用openssh了,代码如下:
 
　　# cp -p contrib/redhat/sshd.init /etc/init.d/sshd
　　(suse: cp contrib/suse/rc.sshd /etc/init.d/sshd)
　　# chmod +x /etc/init.d/sshd
　　# chkconfig --add sshd
　　# cp sshd_config /etc/ssh/sshd_config  (如提示覆盖，yes回车)
　　# cp sshd /usr/sbin/sshd   (如提示覆盖，yes回车)
　　(redhat:cp ssh-keygen /usr/bin/ssh-keygen)
　　通过下面的命令启动ssh服务,代码如下:
 
　　service sshd start 或 service sshd restart
 
　　注:ssh -V //如果看到了新的版本号就没问题啦,如果没有ssh这条命令,执行(redhat、suse: ln -s /usr/local/bin/ssh /usr/bin/ssh).