系統安全檢測及修復辦法
漏洞介紹
ssl/tls suffers
『bar mitzvah attack
』漏洞是由於https
傳輸資料加密使用
rc4加密演算法，存在大約
64個位元組的明文資料會留給攻擊者，存在的安全漏洞較高，主要是由於
web容器開啟了
ssl/tls
訪問方式
,並未遮蔽
rc4加密演算法的。
漏洞檢測辦法
檢視**是否為脆弱的
rc4弱金鑰攻擊，你可以使用
openssl命令
如果看到連線握手成功，可以看到證書資訊則說明存在該風險漏洞，如果你看到
」 alert handshake failure」這句話就說明該**是安全的。
安全檢測工具去測試你的
是否存在風險。
修復方案
開啟tomcat/conf/server.xml
檔案在https
中進行修改。新增
ciphers
屬性將需要應用的加密演算法使用逗號分隔進行配置(剔除
rc4加密演算法
)。使用該辦法將
rc4加密演算法在
資料加密過程中排除在外。
重啟伺服器後即可生效。
檢視openssl支援加密演算法
可以通過命令列檢視
openssl
支援的加密演算法
漏洞介紹
ssl/tls
存在freak
攻擊漏洞全稱為
factoring rsa export keys
，即分解
rsa匯出金鑰攻擊。
該攻擊利用廢棄許久的
「出口級
」加密套件，目前仍有很多
ssl/tls
伺服器端及客戶端仍然支援此類連線。
利用該漏洞攻擊者可以劫持存在漏洞的客戶端與存在漏洞的服務端之間的會話，從而進行中間人攻擊。
漏洞檢測辦法
檢測**是否存在漏洞編號為
cve-2015-0204
的freak
修復方案
openssl
官方已經在最新的版本中修復了該漏洞，安恆資訊建議廣大使用者盡快將服務端更新到最新版的
openssl。
·openssl
的1.0.1
的使用者應該公升級到
1.0.2
· openssl
的1.0.0
的使用者應該公升級到
1.0.0p ·
openssl
的0.9.8
的使用者應該公升級到
0.9.8zd
openssl公升級步驟
1、用openssl version -a命令檢視版本號。
2、檢視系統版本
顯示最新的
openssl
版本資訊
4、替換舊版
openssl。
5、配置庫檔案搜尋路徑。
6、測試新版本的
openssl
是否正常工作。
檢測修復結果
Web系統安全初步
真是應了那樣一句話 用到了，才體會深刻 近期，安全評估小組對我負責的web系統進行安全檢查，發現了很多漏洞，這些都是我平常沒有注意到的地方，或者認為不是那麼重要的地方。1，sql注入 1 比如，從前端接收乙個id，來查詢或更新資料時，如果id被篡改為id 100 and 1 2 則會查詢為空。2 單...
系統安全及應用
一 基本安全措施 1 系統賬號清理 1 將非登入使用者的 shell 設為 sbin nologin 2 鎖定長期不使用的賬號 3 刪除無用的賬號 4 鎖定賬號檔案 etc passwd etc shadow 2 密碼安全控制 方法一 設定密碼有效期 設定今後新增使用者時的預設密碼有效期 要求使用者...
網路與系統安全筆記 入侵檢測
入侵檢測技術 入侵檢測 通過計算機網路或計算機系統中的若干關鍵點收集資訊並對收集到的資訊進行分析，從而判斷網路或系統中是否有違反安全策略的行為和被攻擊的跡象。完成入侵檢測功能的軟體 硬體及其組合。可以檢測識別和隔離有入侵企圖或者不恰當的未授權使用。相關問題 分類基於主機 hids 執行在檢測的主機之...