怎么進(jìn)行openssl漏洞檢查

怎么進(jìn)行openssl漏洞檢查，相信很多沒有經(jīng)驗的人對此束手無策，為此本文總結(jié)了問題出現(xiàn)的原因和解決方法，通過這篇文章希望你能解決這個問題。

  根據(jù)互聯(lián)網(wǎng)安全中心的監(jiān)測預(yù)報：安全協(xié)議OpenSSL近日爆出嚴(yán)重安全漏洞。該安全漏洞被稱為“心臟流血”（Heartbleed）。出現(xiàn)安全漏洞的版本OpenSSL1.01自2012年3月12日已推出。這意味著數(shù)以千萬計的網(wǎng)站已經(jīng)具有潛在危險。 OpenSSL在今年4月7日推出了OpenSSL 1.01g，修復(fù)了這個漏洞。

OpenSSL是為網(wǎng)絡(luò)通信提供安全及數(shù)據(jù)完整性的一種安全協(xié)議，可以實現(xiàn)消息摘要、文件的加密和解密、數(shù)字證書、數(shù)字簽名和隨機數(shù)字等，包括了主要的密碼算法、常用的密鑰和證書封裝管理功能以及SSL協(xié)議，目前正在各大網(wǎng)銀、在線支付、電商網(wǎng)站、門戶網(wǎng)站、電子郵件等重要網(wǎng)站上廣泛使用。

OpenSSL此漏洞的缺陷在于，使用某些特定OpenSSL版本的Web服務(wù)器會存儲一些不受安全保護的數(shù)據(jù)。可以獲取這些數(shù)據(jù)，重建有關(guān)用戶或密鑰的信息，獲取用戶的加密數(shù)據(jù)。

由于OpenSSL是Apache和NGINX Web服務(wù)器的默認(rèn)SSL / TLS證書，所以很多網(wǎng)站比較容易被通過Heartbleed 漏洞***。

操作系統(tǒng)公司現(xiàn)在向客戶提供了OpenSSL的補丁。到目前為止，修復(fù)的Linux操作系統(tǒng)包括：CentOS，Debian，F(xiàn)edora，Red Hat，openSUSE和Ubuntu。SUSE Linux企業(yè)服務(wù)器（SLES）沒有受到影響。

具體受影響的openssl版本為：

OpenSSL Project OpenSSL 1.0.2-beta（包括1.0.2-beta和1.0.2-beta1）

OpenSSL Project OpenSSL 1.0.1（包括1.0.1f, 1.0.1e, 1.0.1d, 1.0.1c, 1.0.1b, 1.0.1a, 1.0.1）

  不受影響的版本：

OpenSSL Project OpenSSL 0.98、1.0.0、1.0.1g和1.0.2-beta2

linux主機上的自我檢查：

$ whereis openssl        #查找openssl位置

openssl: /usr/bin/openssl /usr/include/openssl /usr/share/man/man1/openssl.1

$ ldd /usr/bin/openssl   #openssl的版本信息存放在libcrypto.so中

/usr/bin/openssl needs:

        /usr/lib/libc.a(shr.o)

        /usr/lib/libpthreads.a(shr_comm.o)

        /usr/lib/libpthreads.a(shr_xpg5.o)

        /usr/lib/libcrypto.a(libcrypto.so.0.9.8)

        /usr/lib/libssl.a(libssl.so.0.9.8)

        /unix

        /usr/lib/libcrypt.a(shr.o)

$ ssh -V                 #顯示openssl的版本

OpenSSH_5.8p1, OpenSSL 0.9.8r 8 Feb 2011

此openssh版本不受影響。

$cat /etc/issue

Welcome to SUSE Linux Enterprise Server 11 SP2  (x86_64) - Kernel \r (\l).

suse企業(yè)版11不受影響。

其他系統(tǒng)版本及OPENSSL版本需要進(jìn)行打補丁或升級。

centos修復(fù) #yum -y install  openssl

其他  #apt-get install openssl

看完上述內(nèi)容，你們掌握怎么進(jìn)行openssl漏洞檢查的方法了嗎？如果還想學(xué)到更多技能或想了解更多相關(guān)內(nèi)容，歡迎關(guān)注億速云行業(yè)資訊頻道，感謝各位的閱讀！