近期有几台主机上线，上线的主机在进行安全合规扫描时，发现如下openssh漏洞。其中有几个是陈年老漏洞，主要为CVE-2014-1692漏洞（openssh schnorr.c漏洞）为今天一月份的新漏洞。由于主机没有配置外网连接，而且针对suse和redhat不同的版本，所以使用用了源码包编译升级openssh版本的方式修复。
一、准备相关包
zlib-1.2.5.tar.bz2
openssl-1.0.1.tar.gz
openssh-6.6p1.tar.gz
相关包已上传百度云盘上。
二、准备其他登录方式
由于其间有卸载ssh的操作，以免登录不上主机，可以选择先配置telnet或者vnc来进行远程操作，这里以telnet为例，如下：
| 代码如下 | 复制代码 |
| # vim /etc/xinetd.d/telnet service telnet { socket_type = stream protocol = tcp wait = no user = root server = /usr/sbin/in.telnetd disable = yes } |
|
注，如无telnet-server包，需要先安装该包后，再配置以上选项。
配置完后，重启xinetd守护进程生效并查看是否有23端口的监听：
# service xinetd restart
# netstat -tunlp
安全起见也可以考虑修改下telnet端口或通过iptables进行源地址指定 。
三、程序升级
1、openssl 包的安装
| 代码如下 | 复制代码 |
| # tar -zxvf openssl-1.0.1.tar.gz # cd openssl-1.0.1 # ./config -fPIC threads shared # make # make test # make install # mv /usr/bin/openssl /usr/bin/openssl.OFF # mv /usr/include/openssl /usr/include/openssl.OFF //该步骤可能提示无文件，忽略即可 # ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl # ln -s /usr/local/ssl/include/openssl /usr/include/openssl //移走原先系统自带的openssl，将自己编译产生的新文件进行链接 |
|
注：不能卸载原openssl包，否则会影响系统的ssl加密库文件，除非你可以做两个软连接libcryto和libssl 。
配置文件搜索路径：
| 代码如下 | 复制代码 |
|
# chmod 755 /usr/local/ssl/lib # echo "/usr/local/ssl/lib" >> /etc/ld.so.conf # /sbin/ldconfig -v # openssl version -a OpenSSL 1.0.1 14 Mar 2012 built on: Fri Mar 16 17:14:50 CST 2012 platform: linux-x86_64 options: bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx) compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM OPENSSLDIR: "/usr/local/ssl" |
|
2、卸载原openssh包
备份启动脚本
# cp /etc/init.d/sshd /root/
停止SSHD服务
# /sbin/service sshd stop
卸载系统里原有Openssh
# rpm -qa|grep openssh //查询系统原安装的openssh包,全部卸载。
# rpm -e openssh --nodeps
# rpm -e openssh-server --nodeps
# rpm -e openssh-clients --nodeps
# rpm -e openssh-askpass
或rpm -e --nodeps `rpm -qa |grep openssh`
3、解压安装zlib包
| 代码如下 | 复制代码 |
|
# tar －jxvf zlib-1.2.5.tar.bz2 //首先安装zlib库，否则会报zlib.c错误无法进行 # cd zlib-1.2.5 # ./configure # make&&make install |
|
4、升级openssh包
先将将/etc/ssh的文件夹备份:
| 代码如下 | 复制代码 |
| # mv /etc/ssh /etc/ssh_bak # tar -zxvf openssh-6.6p1.tar.gz # ./configure --sysconfdir=/etc/ssh --with-ssl-dir=/usr/local/ssl --with-md5-passwords --mandir=/usr/share/man --with-pam # make # make install |
|
编译过程中可能报如下错：
checking for EVP_sha256... yes
checking whether OpenSSL has NID_X9_62_prime256v1... yes
checking whether OpenSSL has NID_secp384r1... yes
checking whether OpenSSL has NID_secp521r1... yes
checking if OpenSSL's NID_secp521r1 is functional... yes
checking for ia_openinfo in -liaf... no
checking whether OpenSSL's PRNG is internally seeded... yes
configure: error: PAM headers not found
如果报此错误需要安装相应版本的 pam-devel 包。安装完再重新编译即可 。
5、启动openssh服务
编译安装好后，可以通过sshd -d 进行验证，如果没有报错就可以重新启用openssh了
| 代码如下 | 复制代码 |
|
# cp -p contrib/redhat/sshd.init /etc/init.d/sshd (suse: cp contrib/suse/rc.sshd /etc/init.d/sshd) # chmod +x /etc/init.d/sshd # chkconfig --add sshd # cp sshd_config /etc/ssh/sshd_config (如提示覆盖，yes回车) # cp sshd /usr/sbin/sshd (如提示覆盖，yes回车) (redhat:cp ssh-keygen /usr/bin/ssh-keygen) |
|
通过下面的命令启动ssh服务：
| 代码如下 | 复制代码 |
| service sshd start 或 service sshd restart | |
注：ssh -V //如果看到了新的版本号就没问题啦！如果没有ssh这条命令，执行(redhat、suse: ln -s /usr/local/bin/ssh /usr/bin/ssh)