Linux环境下OpenSSH升级到 OpenSSH_9.8p1（内置保姆级教程并包含openssl升级过程）

ops/2024/9/25 5:37:41/

文章目录

  • 前言
  • 一、下载openssh、openssl二进制包
  • 二、升级步骤
    • 1.系统开启telnet，防止意外导致shh无法连接
    • 2.确认升级前openssh的版本
    • 3.升级openssh
      • 3.1.备份旧ssh配置文件及目录
      • 3.2.备份旧ssh相关的二进制程序文件
      • 3.3.安装gcc,并解压9.8p1的安装包
      • 3.4.执行openssh编译命令
      • 3.5.openssh编译报错示例
    • 4.升级openssl
      • 4.1.检查并备份旧openssl相关文件
      • 4.2.解压安装包、执行编译安装命令
      • 4.3.创建软链接
      • 4.4.验证openssl版本
    • 5.openssh续前缘升级操作
      • 5.1 执行openssh编译
      • 5.2.执行openssh安装命令
      • 5.3.复制sshd启动脚本，并调整配置文件
      • 5.4.启动sshd,并配置开机自启动操作
      • 5.5.验证openssh、openssl版本，并验证服务器登录、scp等操作是否正常
    • 6.注意事项(报错补充)
      • 6.1.执行openssh编译命令可能遇到的报错及解决方法
      • 6.2.openssh9.8p1安装完成并启动后,如果服务器无法连接问题排查处理
  • 总结

前言

2024年7月1日接到安全部门同事邮件通知,目前生产环境及测试环境服务器Openssh存在远程代码执行漏洞(CVE-2024-6387),漏洞等级高,且攻击者可以成功利用该漏洞获得远程root shell最高权限从而执行任意代码及命令，主要受影响版本为8.5p1<=Openssh<9.8p1,安全版本为openssh>=9.8p1。官方给出的修改建议是升级openssh版本至9.8p1,安全部门同事及项目侧领导邮件确认升级至9.8p1版本并对服务器添加hosts.allow、hosts.deny文件，仅允许通过堡垒机连接服务器。因此本文章主要以升级Openssh漏洞为主,对其操作进行记录,测试环境于生产环境的操作系统版本为centos7.8,x86_64架构，目前已均获得验证，升级openssh、openssl版本后服务器操作、相关业务等在一个多月内均未受到影响。

提示：以下是本篇文章正文内容，下面案例可供参考

为什么升级openssh9.8时需要升级openssl？因为在升级openssh过程中报了一个错误,提示需要openssl版本至1.1.1,因此才有了下方升级openssl的操作。如果没有报该错误，则可不升级openssl，具体看下方演示

一、下载openssh、openssl二进制包

1、下载openssh源码包
[root@python1 ~]# wget  https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.8p1.tar.gz
--2024-08-14 11:02:15--  https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.8p1.tar.gz
Resolving cdn.openbsd.org (cdn.openbsd.org)... 146.75.115.52, 2a04:4e42:15::820
Connecting to cdn.openbsd.org (cdn.openbsd.org)|146.75.115.52|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 1910393 (1.8M) [application/octet-stream]
Saving to: ‘openssh-9.8p1.tar.gz’38% [=========================================>               729,088     49.9KB/s  eta 22s2、下载openssl源码包
[root@python1 ~]# wget https://github.com/openssl/openssl/archive/refs/tags/OpenSSL_1_1_1s.tar.gz

二、升级步骤

需要升级的服务器尽可能通外网,因为涉及到zlib-devel、pam、gcc等包的安装,如果是纯内外环境，则需要提前下载好包并上传到内网环境在做操作。

1.系统开启telnet，防止意外导致shh无法连接

在需要升级的服务器上安装

[root@python1 ~]# yum install -y telnet-server
[root@python1 ~]# yum install -y xinetd
[root@python1 ~]# systemctl start telnet.socket && systemctl start xinetd.service#因为默认情况下系统是不允许root用户telnet远程登录的。如果要使用root用户直接登录，需设置如下内容
[root@python1 ~]# echo  'pts/0'  >> /etc/securetty 
[root@python1 ~]# echo  'pts/1'  >> /etc/securetty

[root@python2 ~]# telnet 需要升级ssh的服务器ip
如下图所示

在这里插入图片描述
在这里插入图片描述

2.确认升级前openssh的版本

[root@python1 ~]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017

在这里插入图片描述

3.升级openssh

3.1.备份旧ssh配置文件及目录

[root@python1 ~]# mv /etc/ssh/ /home/ssh-bak

3.2.备份旧ssh相关的二进制程序文件

[root@python1 ~]# mv /usr/bin/ssh /usr/bin/ssh.bak[root@python1 ~]# mv /usr/sbin/sshd /usr/sbin/sshd.bak[root@python1 ~]# mv /etc/pam.d/sshd  /etc/pam.d/sshd.old

3.3.安装gcc,并解压9.8p1的安装包

#如果服务器已安装过gcc，则忽略此步骤

[root@python1 ~]# yum -y install gcc

解压9.8p1 tar包

[root@python1 ~]# tar  xf openssh-9.8p1.tar.gz -C /data/updateSsh/

3.4.执行openssh编译命令

[root@python1 openssh-9.8p1]# cd /data/updateSsh/openssh-9.8p1 && ./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib --with-md5-passwords

编译过程示例
报错示例

3.5.openssh编译报错示例

如上3.4中报错示例图所示，编译安装openssh—9.8p1版本需要openssl版本到达1.1.1l，但此时我们的openssl版本是1.0.2k，如下图所示，因此需要先升级openssl

在这里插入图片描述

4.升级openssl

如果遇到上述3.4和3.5的报错，则先执行该步骤，升级openssl

4.1.检查并备份旧openssl相关文件

[root@python1 ~]#  whereis openssl
openssl: /usr/bin/openssl /usr/lib64/openssl /usr/include/openssl /usr/local/openssl /usr/share/man/man1/openssl.1ssl.gz

[root@python1 openssh-9.8p1]# mv /usr/bin/openssl  /usr/bin/openssl.old
[root@python1 openssh-9.8p1]# mv /usr/lib64/openssl /usr/lib64/openssl.old
[root@python1 openssh-9.8p1]# mv /usr/include/openssl  /usr/include/openssl.old
[root@python1 openssh-9.8p1]# mv /usr/local/openssl  /usr/local/openssl.old

4.2.解压安装包、执行编译安装命令

[root@python1 updateSsh]#
[root@python1 openssl-1.1.1s]# ./config --prefix=/usr --shared && make && make install

openssl编译过程
在这里插入图片描述

4.3.创建软链接

注意，如果有这两个文件就执行，如果没有报如下failed，忽略即可不影响

[root@python1 openssl-1.1.1s]# ln -s /usr/lib64/libcrypto.so.1.0.0  /usr/lib64/libcrypto.so.10
ln: failed to create symbolic link ‘ /usr/lib64/libcrypto.so.10’: No such file or directory
[root@python1 openssl-1.1.1s]# ln -s /usr/lib64/libssl.so.1.0.0  /usr/lib64/libssl.so.10
ln: failed to create symbolic link ‘ /usr/lib64/libssl.so.10’: No such file or directory

4.4.验证openssl版本

在这里插入图片描述
至此，openssl升级完毕，接着升级openssh

5.openssh续前缘升级操作

5.1 执行openssh编译

因为在第三步升级openssh过程报错openssl版本低问题，因此在步骤四进行了升级openssl操作，升级完成后，接着重新升级openssh

[root@python1 openssh-9.8p1]# ./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib --with-md5-passwords
升级完成截图如下所示

注意事项：

如果再次执行上述编译安装命令，报如下错误，则需要先执行以下安装命令
configure: error: PAM headers not found[root@python1 openssh-9.8p1]# yum -y install pam-devel.x86_64

在这里插入图片描述
安装完pam-devel依赖后,继续执行上述编译安装命令

[root@python1 openssh-9.8p1]# ./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib --with-md5-passwords

当出现以下截图所示，则说明openssh编译完成，接着执行make和make install命令
openssh编译完成示例图

5.2.执行openssh安装命令

此步骤必须在5.1步骤中编译完成的基础上执行

[root@python1 openssh-9.8p1]#  make && make install
执行完成后如下图所示

openssh安装完成示例图

5.3.复制sshd启动脚本，并调整配置文件

[root@python1 openssh-9.8p1]# cp contrib/redhat/sshd.pam /etc/pam.d/sshd.pam
[root@python1 openssh-9.8p1]# cp contrib/redhat/sshd.init /etc/init.d/sshd
[root@python1 openssh-9.8p1]# echo 'X11Forwarding yes' >> /etc/ssh/sshd_config  #
[root@python1 openssh-9.8p1]# echo "PermitRootLogin yes" >> /etc/ssh/sshd_config #允许root用户登录
[root@python1 openssh-9.8p1]# vim /etc/ssh/sshd_configPasswordAuthentication yes  #打开密码认证的注释

5.4.启动sshd,并配置开机自启动操作

[root@python1 openssh-9.8p1]# systemctl enable sshd
[root@python1 openssh-9.8p1]# systemctl restart sshd

5.5.验证openssh、openssl版本，并验证服务器登录、scp等操作是否正常

[root@python1 openssh-9.8p1]# ssh -V
OpenSSH_9.8p1, OpenSSL 1.1.1s  1 Nov 2022

在这里插入图片描述
验证scp命令是否可用
在这里插入图片描述
验证服务器能是否正常登录
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
至此,服务器openssh升级至9.8版本全部完成

6.注意事项(报错补充)

6.1.执行openssh编译命令可能遇到的报错及解决方法

在这里插入图片描述

如果遇到以上图中的报错,则使用该解决方法。执行完该步骤后，再次执行openssh编译命令即可
[root@python1 openssh-9.8p1]# yum install -y zlib-devel

在这里插入图片描述

如果遇到以上图中的报错,则使用该解决方法。执行完该步骤后，再次执行openssh编译命令即可
[root@python1 openssh-9.8p1]# yum -y install openssl-devel

在这里插入图片描述

如果遇到以上图中的报错,则使用该解决方法。执行完该步骤后，再次执行openssh编译命令即可
[root@python1 openssh-9.8p1]# yum -y install pam-devel.x86_64

6.2.openssh9.8p1安装完成并启动后,如果服务器无法连接问题排查处理

[root@python1 openssh-9.8p1]#  systemctl stop firewalld.service
[root@python1 openssh-9.8p1]#  systemctl disable firewalld.service
[root@python1 openssh-9.8p1]#  vim /etc/selinux/config
设置为 SELINUX=disabled

总结

至此，openssh9.8p1版本升级完成，并且在测试环境升级完成后观察了一天并没有不可控因素产生，目前已升级到了生产环境，一切平稳允许，漏洞也已得到了解决。因此整理出本章博客内容，希望对大家有用


http://www.ppmy.cn/ops/95898.html

相关文章

【C++11】入门基础

【C++11】入门基础

&#x1f525; 个人主页&#xff1a;大耳朵土土垚 &#x1f525; 所属专栏&#xff1a;C从入门至进阶 这里将会不定期更新有关C/C的内容&#xff0c;欢迎大家点赞&#xff0c;收藏&#xff0c;评论&#x1f973;&#x1f973;&#x1f389;&#x1f389;&#x1f389; 文章目录…
阅读更多...
TI DSP TMS320F280025 Note1:工程模板Template创建

TI DSP TMS320F280025 Note1:工程模板Template创建

TMS320F280025工程模板Template创建 文章目录 TMS320F280025工程模板Template创建新建一个ccs工程为需要添加的一些文件新建文件夹从c2000中拷贝官方基础文件到工程中cmd链接文件common头文件和源文件headers头文件和源文件库函数文件添加driverlib.lib文件 添加文件的路径文件…
阅读更多...
【牡牛和牝牛】

【牡牛和牝牛】

题目 代码 #include <bits/stdc.h> using namespace std; typedef long long LL; const int N 1e510; const int mod 5000011; int fac[N], infac[N]; int qmi(int base, int expo, int p) {int retval 1;while(expo){if(expo & 1) retval (LL)retval * base % …
阅读更多...
一分钟掌握java9新特性

一分钟掌握java9新特性

try-with-resources语句 /** * 在处理必须关闭的资源时&#xff0c;使用try-with-resources语句替代try-finally语句。 生成的代码更简洁&#xff0c;更清晰&#xff0c;并且生成的异常更有用 * java9 之前写法 */ public static String readFile1(String fileName){ tr…
阅读更多...
网络协议栈应用层的意义（内含思维导图和解析图通俗易懂超易理解）

网络协议栈应用层的意义（内含思维导图和解析图通俗易懂超易理解）

绪论​&#xff1a; “节省时间的方法就是全力以赴的将所要做的事情完美快速的做完&#xff0c;不留返工重新学习的时间&#xff0c;才能省下时间给其他你认为重要的东西。” 本章主要讲到OSI网络协议栈中的应用层的作用和再次在应用层的角度理解协议的具体意义&#xff0c;以及…
阅读更多...
[SWPUCTF 2021 新生赛]babyrce

[SWPUCTF 2021 新生赛]babyrce

我们传cookie admin1 访问http://node5.anna.nssctf.cn:29911/rasalghul.php 在PHP中&#xff0c;preg_match函数是一个用于进行正则表达式匹配的内置函数。它可以通过正则表达式对一个字符串进行匹配&#xff0c;判断该字符串是否满足正则表达式的规则。 发现过滤空格&#x…
阅读更多...
SQLALchemy ORM 的关联关系之 ORM 中的多对多

SQLALchemy ORM 的关联关系之 ORM 中的多对多

SQLALchemy ORM 的关联关系之 ORM 中的多对多 场景示例实现多对多关系定义模型插入和查询数据总结在 SQLAlchemy ORM 中，多对多（Many-to-Many）关联关系是一种常见的关系类型，它表示两个表中的行可以相互关联，即一个表中的多行可以与另一个表中的多行相关联。为了实现这种关…
阅读更多...
Jmeter+Influxdb+Grafana平台监控性能测试过程（三种方式）

Jmeter+Influxdb+Grafana平台监控性能测试过程（三种方式）

一、Jmeter自带插件监控 下载地址&#xff1a;Install :: JMeter-Plugins.org 安装&#xff1a;下载后文件为jmeter-plugins-manager-1.3.jar&#xff0c;将其放入jmeter安装目录下的lib/ext目录&#xff0c;然后重启jmeter&#xff0c;即可。 启动Jmeter&#xff0c;测试计…
阅读更多...
最新文章

Copyright @ 2022~2023