Linux系统安全漏洞整改解决方案

注意:以下所有操作�确认后再实施:
1. OpenSSH 相关漏洞
解决方案

升级OpenSSH为最新版本,目前为5.9,首先到官网(http://www.openssh.com/portable.html#http)下载:openssh-5.9p1.tar.gz

把OpenSSH 上传到服务器,首先检查升级前版本(以下所有操作均在root下完成):

shell> ssh -V # 此命令会显示OpenSSL、OpenSSH的��版本号

首先安装OpenSSH:

shell> tar xvf openssh-5.9p1.tar.gz

shell> cd openssh-5.9p1

shell> sed -i -e ‘s/_5.9//’ version.h

查询信赖包是否安装:

shell> rpm -qa | grep zlib #如果能看到zlib、zlib-devel,请继续,否则安装后再继续。

shell> ./configure –sysconfdir=/etc/ssh

shell> make && make install

开始配置:

shell> /bin/cp /usr/local/sbin/sshd /etc/init.d/sshd

shell> mkdir /root/ssh_bak #创建备份目录

shell> mv /etc/ssh/* /root/ssh_bak/ #移动到备份目录

shell> /bin/cp /usr/local/etc/* /etc/ssh/

shell> sed -e ‘s@/usr/bin/ssh-keygen.*@#@’ /etc/init.d/sshd

shell> /etc/init.d/sshd restart

shell> ssh -V 检查是否是 OpenSSHp1 开头,如果是,则OpenSSH升级成功。



2.远端WEB服务器上存在/robots.txt文件
解决方案:

解决方案: 可直接删除(可参考:http://zh.wikipedia.org/wiki/Robots.txt)



3.ICMP timestamp请求响应漏洞
解决方案:

shell> echo “1″ > /proc/sys/net/ipv4/icmp_echo_ignore_all

shell> echo “echo “1″ > /proc/sys/net/ipv4/icmp_echo_ignore_all” >> /etc/rc.local

Windows Server 2008 参考: http://hi.baidu.com/%BA%D3%C4%CF%CD%F8%C2%B7/blog/item/91076a62831cdb4aebf8f807.html

Windows Server 2003参考: http://zhidao.baidu.com/question/41992099



4. Apache Tomcat 相关漏洞 解决方案:

根据安全厂商给的解决方案链接:http://www.ocert.org/advisories/ocert-2011-003.html 从此页面可得知,有问题的Tomcat版本如下:

<= 5.5.34, <= 6.0.34, <= 7.0.22,而无安全漏洞的 Tomcat版本如下: 5.5.35, >= 6.0.35, >= 7.0.23

访问:http://tomcat.apache.org/index.html 下载对应的Tomcat版本,例如经分在使用 Tomcat 5.5.34,下载对应的Tomcat 5.5.35;

如在使用Tomcat 6.0.34,下载对应的 Tomcat 6.0.35,依此类推。

4.1 Apache Tomcat sendfile请求安全限制绕过和拒绝服务漏洞:此漏洞也是通过上面的版本升级方式解决。具体请参考官方解释:

http://tomcat.apache.org/security-5.html#Fixed_in_Apache_Tomcat_5.5.35 和 http://secunia.com/advisories/45232/



5.SNMP服务存在可读口令
解决方案:

可按照漏洞扫描�Y果中的过程操作,如问困难,可向系统组同事请教。



6. rpc相关漏洞 解决方案:

(和项目组确认没有使用NFS后再操作)

shell> /etc/init.d/portmap stop && chkconfig portmap off

shell> /etc/init.d/rpcidmapd stop && chkconfig rpcidmapd off

shell> /etc/init.d/nfslock stop && chkconfig nfslock off



7.利用SMTP/EXPN命令可猜测目标主机上的用户名 解决方案(待确认):



8.Oracle数据库服务器CREATE ANY DIRECTORY权限提升漏洞 暂时没有解决方案。



9. SNMP服务可以通过SNMPV1访问 解决方案(待确认)



10. Apache HTTP Server相关漏洞 解决方案:

通过下载使用Apache HTTP Server 2.2.22或以上可解决,详情参考:http://mail-archives.apache.org/mod_mbox/httpd-announce/201201.mbox/browser

此页面显示了2.2.22或以上这个版本修复了哪些安全漏洞。官方下载地址:http://www.apache.org/dyn/closer.cgi

10.1 Apache Apache::Status和Apache2::Status模块跨站脚本漏洞

http://mail-archives.apache.org/mod_mbox/perl-advocacy/200904.mbox/%[email protected]%3E

10.2 Apache服务器不完整HTTP请求拒绝服务漏洞[精确扫描]:

更改httpd.conf中 TimeOut 的值为30秒



11.远端WWW服务支持TRACE请求 解决方案 请参考第10点。



12.Oracle tnslsnr没有设置口令 解决方案:

扫描报告已经明确写出详细步骤,或DBA自己完成。



13. 猜测出远程FTP服务存在可登录的用户名口令 解决方案:

确认账号的密码复杂性,例如检查是否存在123456 类似这样的密码,如有简单密码,确认后再修改。



14.目标主机showmount -e信息泄露 解决方案:

确认是否有NFS服务在运行,如在运行确认是否关闭,如因有业务影响请在整改报告中明确写出原因(但绝不能外网访问NFS)。



15.检测到远端rlogin服务正在运行中 解决方案:

如果是AIX系统,请在整改报告中明确写出原因(但绝不能外网登录)。



16.远端运行着IDENT服务 解决方案:

漏洞扫描报告中已经有详细的操作步骤。



17.检测到远端rsh服务正在运行中 解决方案:

如果是AIX系统,请在整改报告中明确写出原因(但绝不能外网登录)。



18.检测到远端rexec服务正在运行中 解决方案:

漏洞扫描报告中已经有详细的操作步骤。



19.存在一个可用的远程代理服务器 解决方案待确认。



20.远程web主机存在目录遍历漏洞 解决方案待确认。



21. 远程主机允许匿名FTP登录 解决方案:

修改配置文件,不许出现匿名登录,由于FTP的类型较多,具体的操作步骤可咨询系统组同事。



22.FTP服务器版本信息可被获取 无需整改(因要修改源码重新编译)。



23.远端SSH Server允许使用低版本SSH协议 解决方案:

参考漏洞扫描报告中的操作步骤,或参考第1点直接升级OpenSSH版本(强烈建议)。



24.检测到远端XDMCP服务正在运行中 解决方案:

关闭XDMCP服务



25. PHP相关漏洞 解决方案:

根据http://www.venustech.com.cn/NewsInfo/124/6459.Html 可得知,受影响版本是:

PHP 5.2 <= 5.2.13

PHP 5.3 <= 5.3.2

目前最好的办法是升级PHP版本。官方最新稳定是:PHP 5.3.10。 而5.2.X 最高版本是:PHP 5.2.17
 

你可能感兴趣的:(linux,安全,web服务器)