当前位置:首页 > 互联网杂谈 > 正文内容

SSL POODLE[贵宾犬]漏洞的解决办法

老威3年前 (2018-04-23)互联网杂谈85590

最近老威做了几个https协议的站,本来对ssl这东西不是很懂,全站重定向到https后,检测网站的时候出来一大堆漏洞,其中包括SSL POODLE,俗称“贵宾犬”漏洞,此漏洞是针对SSL3.0中CBC模式加密算法的一种padding oracle攻击,可以让攻击者获取SSL通信中的部分信息明文,如果将明文中的重要部分获取了,比如cookie,session,则信息的安全出现了隐患。虽然我做SEO的时间也不短了,但是安全这方面平时还真不怎么接触,这几天把ssl的漏洞研究了一个遍,还好没白下功夫,网站安全分数已经接近满分。

SSL POODLE漏洞怎么解决

如何检测网站漏洞

可以是通过https在线检测工具https://myssl.com/或者https://wosign.ssllabs.com/来进行检测。

SSL POODLE(贵宾犬)漏洞的修复措施:

禁用sslv3协议

不同的web server不尽相同。这边列举主流的服务器的禁用方式(ps:套件版本过低可能会导致无法启用新型加密套件跟算法,请升级到最新版本)


Nginx服务器:

(openssl1.0.1+版本支持TLS1.1和TLS1.2协议)

ssl_protocols TLSv1 TLSv1.1 TLSv1.2; 
ssl_ciphers AESGCM:ALL:!DH:!EXPORT:!RC4:+HIGH:!MEDIUM:!LOW:!aNULL:!eNULL;


apache服务器:

(openssl1.0.1+版本支持TLS1.1和TLS1.2协议)

apache2.X版本:

SSLProtocol  all -SSLv2 -SSLv3
SSLCipherSuite ALL:!DH:!EXPORT:!RC4:+HIGH:!MEDIUM:!LOW:!aNULL:!eNULL


Tomcat服务器:

(先备份再配置,低版本的配置后有启动不了的风险,请升级tomcat和jdk版本,JDK1.7及以上支持TLS1.2协议)

Tomcat 6 (prior to 6.0.38)

<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
     keystoreFile="keystore/domain.jks"  keystorePass="证书密码"
               clientAuth="false" sslProtocols="TLSv1,TLSv1.1,TLSv1.2"
                ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,
                                TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
                                TLS_RSA_WITH_AES_128_CBC_SHA256,
                                TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
                                TLS_RSA_WITH_3DES_EDE_CBC_SHA,
                                TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA" />


Tomcat 7 and later

  < Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               keystoreFile="keystore/SSL.jks"  keystorePass="证书密码"
               clientAuth="false" sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"
               ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,
                               TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
                               TLS_RSA_WITH_AES_128_CBC_SHA256,
                               TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
                               TLS_RSA_WITH_3DES_EDE_CBC_SHA,
                               TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA" />


使用apr的tomcat(windows环境路径请使用“\”)

<Connector port="443" maxHttpHeaderSize="8192"
              maxThreads="150"
               protocol="HTTP/1.1"
               enableLookups="false" disableUploadTimeout="true"
               acceptCount="100" scheme="https" secure="true"
               SSLEnabled="true"
               sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"
               SSLCertificateFile="conf/2_domian.com.crt"
               SSLCertificateKeyFile="conf/3_domian.com.key"
               SSLCertificateChainFile="conf/1_root_bundle.crt" />


IIS服务器:

使用我们的套件工具,按照如下图进行修复。

下载地址:

windows server 2008 http://www.wosign.com/download/IISCrypto.exe

windows server 2012 https://www.nartac.com/Downloads/IISCrypto/IISCrypto40.exe

备注:windows server 2003不支持tls1.1和1.2请升级至2008 R2或2012

SSL POODLE漏洞解决办法

本文为老威SEO博客原创文章,欢迎各位转载,转载请保留或注明出处!

扫描二维码至手机访问

扫描二维码推送至手机访问。

版权声明:本文由老威SEO发布,如需转载请注明出处。

转载请注明出处:http://www.lwseo.cn/hlw/80.html

分享给朋友:

相关文章

SEO博客为你讲述何为流量劫持

SEO博客为你讲述何为流量劫持

最近互联网打击越来越严格了,先不说快手抖音,内涵段子连整改的机会都没有了,真是让广大段友操碎了心,头条老大张一鸣的道歉看出来其强烈的求生欲望,甚至“今日头条要凉”等一类话题还在持续发酵时,又爆出一个热...

服务器防护软件有哪些比较好用

服务器防护软件有哪些比较好用

前段时间老威朋友的网站被黑了,并且是同一个服务器下的所有网站,老威大概研究了一下日志,最先是从一个gif文件上传进来,后来做了提权,不仅有了这个网站的权限,还提到了服务器admin用户的权限,导致所有...

火车采集器7.6版本闪退的解决办法

火车采集器7.6版本闪退的解决办法

老威最近在做几个站,因为数据量比较大,所以前期的东西都是要采集的,但是火车头采集器最近却一直闪退,采不了多少就崩溃一次,这让我很是烦躁,于是在网上找了几种方法,还真就找到了,分享给大家首先去火车头根目...

windows server2012远程桌面多用户同时登录的方法

windows server2012远程桌面多用户同时登录的方法

目前市面上各大服务商的远程服务器老威几乎都用过,印象里好像只有西部数码是配备了允许三个远程用户同时登陆,其他的应该都是一个,这样其实非常不方便,如果一个公司有两个以上的技术同时对服务器有操作需求的话就...

mysql批量修改与替换语句的方法

mysql批量修改与替换语句的方法

MySQL批量替换指定字段字符串语句UPDATE 数据表名 SET 字段名 = replace(字段名, '要替换的字符串', '替换为') WHERE 设定条件;例子...

windows环境下"php-cgi.exe - FastCGI 进程意外退出"的解决办法

windows环境下"php-cgi.exe - FastCGI 进程意外退出"的解决办法

市面上很多windows环境下的php集成软件,像是phpstudy、wampserver、AppServ等,傻瓜式操作解决了我们很多繁杂的操作问题,但是也会出现一些特殊情况,大概就是人家php明明是...

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。