升级 SSH 服务修复安全漏洞

前言

升级 SSH 服务修复安全漏洞。

简介

在使用Centos 7过程中，等保要求：需要升级 SSH 服务到8.3修复安全漏洞，如图所示：

升级ssh服务，有两种方法：

1.下载对象系统的rpm包使用rpm命令升级

示例：

rpm -Uvh *rpm

2.下载源码的ssh包，进行升级，为了防止重启ssh后无法远程连接到服务器，需要先安装telnet备用连接方式，防止升级完ssh无法远程连接到服务器。

这里使用的是第二种方法。

配置备用连接方式Telnet

说明：若不需要备用连接方式可以跳过这一步，直接下一步。

1.安装Telnet（Telnet依赖于xinetd服务）

[root@mail-63 ~]# yum install xinetd telnet-server -y

注：检查配置文件，如果存在/etc/xinetd.d/telnet 文件则需要修改配置使 root 用户可以通过 telnet 登
陆，如果不存在该文件则无需配置。我这里没有这个文件，所以跳过。

2.配置Telnet登陆的终端类型，在配置文件末端添加以下终端。

[root@mail-63 ~]# vim /etc/securetty

pts/0
pts/1
pts/2
pts/3

3.启动telnet，并连接测试

[root@mail-63 ~]# systemctl start xinetd.service && systemctl start telnet.socket

源码编译安装sshd（8.3）

1.下载openssh

wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-8.3p1.tar.gz

2.安装依赖关系

yum -y install gcc gcc-c++ zlib zlib-devel openssl openssl-devel pam-devel libselinux-devel

3.备份现有的ssh

[root@mail-63 ~]# mkdir /opt/sshbak

[root@mail-63 ~]# mv /etc/ssh/* /opt/sshbak/

4.清理现有的开机启动项

[root@mail-63 ~]# mv /usr/lib/systemd/system/sshd.service /opt/sshbak/

5.源码安装编译openssh

[root@mail-63 ~]#tar -xf openssh-8.3p1.tar.gz -C /usr/local/src/

[root@mail-63 ~]#cd /usr/local/src/openssh-8.3p1

[root@mail-63 openssh-8.3p1]#./configure --with-md5-passwords --with-pam --with-selinux --with-privsep-path=/usr/local/sshd/ --sysconfdir=/etc/ssh && make && make install

注：

–prefix 安装目录
–sysconfdir 配置文件目录
–with-privsep-path 支持特权分离
–with-md5-passwords 支持读取经过MD5加密的口令

6.检查是否编译安装成功。

使用echo $?检查。

7.启用pam配置文件，该文件在 contrib 目录下。

[root@mail-63 openssh-8.3p1]# cp -a contrib/redhat/sshd.pam /etc/pam.d/sshd.pam

8.拷贝ssh启动脚本

[root@mail-63 openssh-8.3p1]# cp -a contrib/redhat/sshd.init /etc/init.d/sshd

9.更改ssh配置文件

[root@mail-63 openssh-8.3p1]# vim /etc/ssh/sshd_config

改：
32 #PermitRootLogin prohibit-password
为：
32 PermitRootLogin yes #容许root远程登录

改：（去掉注释即可）
37 #PubkeyAuthentication yes #容许秘钥认证
为：
37 PubkeyAuthentication yes

改：（去掉注释即可，此处是优化项如果使用 DNS 解析速度会很慢）
98 #UseDNS no
为：
98 UseDNS no

10.配置ssh开机自启动

[root@mail-63 openssh-8.3p1]# chkconfig --add sshd
[root@mail-63 openssh-8.3p1]# chkconfig sshd on

Note: Forwarding request to ‘systemctl enable sshd.socket’.
Created symlink from /etc/systemd/system/sockets.target.wants/sshd.socket to /usr/lib/systemd/system/sshd.socket.

11.测试

[root@mail-63 openssh-8.3p1]# /etc/init.d/sshd restart
Restarting sshd (via systemctl): [ OK ]

[root@mail-63 openssh-8.3p1]# ssh -V
OpenSSH_8.3p1, OpenSSL 1.0.2k-fips 26 Jan 2017

12.关闭备用的telnet（若没有开启可忽略）

[root@mail-63 openssh-8.3p1]# systemctl stop xinetd.service && systemctl stop telnet.socket

总结

1. 若是设备离得远，一定要设置telnet备用连接方式
2. 一定开清理原有的ssh和启动项
3. 要复制pam配置文件和ssh新的启动脚本
4. 最好最方便的是使用rpm包升级，一键到位。