【Linux】OpenSSH 命令注入漏洞(CVE-2020-15778)（iptables屏蔽22端口方式）

2023-11-30 15:30
文章标签 2020 linux 命令 漏洞 注入 方式 端口 22 cve iptables 屏蔽 openssh 15778

本文主要是介绍【Linux】OpenSSH 命令注入漏洞(CVE-2020-15778)（iptables屏蔽22端口方式），希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

背景

漏洞名称：OpenSSH 命令注入漏洞(CVE-2020-15778)
详细描述：OpenSSH（OpenBSD Secure Shell）是OpenBSD计划组的一套用于安全访问远程计算机的连接工具。该工具是SSH协议的开源实现，支持对所有的传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。
OpenSSH 9.0p1及之前版本中的scp的scp.c文件存在命令注入漏洞。该漏洞源于外部输入数据构造可执行命令过程中，网络系统或产品未正确过滤其中的特殊元素。攻击者可利用该漏洞执行非法命令。
解决方法：
厂商补丁:目前厂商暂未发布修复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法：
https://www.openssh.com/
临时缓解措施：可以禁用scp，改用rsync等缓解风险（可能会导致小文件机器内拷贝变慢）

绿盟扫出来的漏洞，但是禁用scp漏洞复扫还是有这个漏洞，查询版本SSH版本也是没问题的
在这里插入图片描述
这就没辙了，只能限制服务器端口访问了，但是服务器不是我方管的，只能审慎执行命令，不然登不上去了还得找别人给帮忙处理

解决方式

1、换端口

就是把22端口换成其他端口

##查看firewall配置清单
firewall-cmd --list-all
##查到为关闭态，启动防火墙
systemctl status firewalld.service## 添加端口，这里从25到65535的tcp和udp都开起来，除了2181 
firewall-cmd --zone=public --add-port=25-65535/tcp --permanent
firewall-cmd --zone=public --add-port=25-65535/udp --permanent
##重新加载
firewall-cmd --reload
##查看firewall配置清单
firewall-cmd --list-all

然后修改

 vi /etc/ssh/sshd_config


这里修改为
1022端口自定义

Port 22
Port 1022
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

然后

 ##重启sshd服务：systemctl reload sshd.service

验证1022端口是否可连接，可以的话回到上一步
改成

#Port 22
Port 1022
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

然后

 ##重启sshd服务：systemctl reload sshd.service

这样22端口就替换为1022端口了

2、限制固定服务器访问22端口

上面换端口麻烦是需要修改ssh客户端端口，不修改端口可以限制访问策略
操作过程中要边操作边验证，切记不要关闭已打开的窗口，保持开启，即使操作错误了，这个窗口也不会自动断开，还可以自行修复，否则就无法连接，直接找人吧。
验证方式是通过另开端口方式，验证是否可以再次访问，验证成功后再继续操作

##查看当前的iptables规则，显示当前的防火墙规则列表
iptables -L
##允许指定IP地址访问22端口
iptables -A INPUT -p tcp -s 134.1.1.111 --dport 22 -j ACCEPT
##允许指定IP网段地址访问22端口
iptables -A INPUT -p tcp -s 134.1.1.0/24 --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s 10.1.1.0/24 --dport 22 -j ACCEPT
##拒绝其他IP地址访问22端口
iptables -A INPUT -p tcp --dport 22 -j DROP##待确认
##保存设置并重新加载iptables规则
service iptables save
service iptables restart##如果上面两条命令显示服务不存在，可以安装iptables服务
yum install iptables-services
##上面执行后，在执行保存和重启，试过好像不保存重启也行
##保存完是更新到下面文件，可查看保存效果
vi /etc/sysconfig/iptables

后续添加可以直接在这个文件里添加，然后 service iptables restart 重启即可
在这里插入图片描述

[root@xxxxx ~]# service iptables save
The service command supports only basic LSB actions (start, stop, restart, try-restart, reload, force-reload, status). For other actions, please try to use systemctl.
[root@xxxxx ~]# service iptables restart
Redirecting to /bin/systemctl restart iptables.service
Failed to restart iptables.service: Unit iptables.service not found.
[root@xxxxx ~]# yum install iptables-services
Last metadata expiration check: 0:34:19 ago on Wed 29 Nov 2023 02:47:39 AM CST.
Dependencies resolved.
========================================================================================================================================Package                              Architecture              Version                                 Repository                 Size
========================================================================================================================================
Installing:iptables-services                    x86_64                    1.8.4-10.0.1.an8.4                      BaseOS                     60 kTransaction Summary
========================================================================================================================================
Install  1 PackageTotal size: 60 k
Installed size: 20 k
Is this ok [y/N]: y
Downloading Packages:
Running transaction check
Transaction check succeeded.
Running transaction test
Transaction test succeeded.
Running transactionPreparing        :                                                                                                                1/1 Installing       : iptables-services-1.8.4-10.0.1.an8.4.x86_64                                                                    1/1 Running scriptlet: iptables-services-1.8.4-10.0.1.an8.4.x86_64                                                                    1/1 Verifying        : iptables-services-1.8.4-10.0.1.an8.4.x86_64                                                                    1/1 Installed:iptables-services-1.8.4-10.0.1.an8.4.x86_64                                                                                           Complete!
[root@xxxxx ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
[root@xxxxx ~]# service iptables restart
Redirecting to /bin/systemctl restart iptables.service
[root@xxxxx ~]# vi /etc/sysconfig/iptables

附：删除命令
这个命令就是删除iptables -L列出的命令，后面数字为L列出来的顺序，建议从下往上删，
但保存到/etc/sysconfig/iptables后就不再追加了

iptables -D INPUT 1

参考：

核心参考
禁用linux系统默认的22端口号
linux防火墙设置指定ip访问22端口

其他参考：
【Linux安全管理】Firewalld详解
Linux系统iptables命令详解
centos7使用firewalld限制ip登陆22端口
Linux系统通过firewall限制或开放端口
防火墙firewall rich-rule规则排序限制IP访问端口

这篇关于【Linux】OpenSSH 命令注入漏洞(CVE-2020-15778)（iptables屏蔽22端口方式）的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/437559。

相关文章

Linux内核的调试（TODO）

Linux内核的调试（TODO）

（TODO）
阅读更多...
linux-基础知识3

linux-基础知识3

打包和压缩 zip 安装zip软件包 yum -y install zip unzip 压缩打包命令: zip -q -r -d -u 压缩包文件名 目录和文件名列表 -q:不显示命令执行过程-r:递归处理，打包各级子目录和文件-u:把文件增加/替换到压缩包中-d:从压缩包中删除指定的文件 解压:unzip 压缩包名 打包文件 把压缩包从服务器下载到本地 把压缩包上传到服务器(zip
阅读更多...
Linux 网络编程 --- 应用层

Linux 网络编程 --- 应用层

一、自定义协议和序列化反序列化 代码： 序列化反序列化实现网络版本计算器 二、HTTP协议 1、谈两个简单的预备知识 https://www.baidu.com/ --- 域名 --- 域名解析 --- IP地址 http的端口号为80端口，https的端口号为443 url为统一资源定位符。CSDNhttps://mp.csdn.net/mp_blog/creation/editor
阅读更多...
【Python编程】Linux创建虚拟环境并配置与notebook相连接

【Python编程】Linux创建虚拟环境并配置与notebook相连接

1.创建 使用 venv 创建虚拟环境。例如，在当前目录下创建一个名为 myenv 的虚拟环境： python3 -m venv myenv 2.激活 激活虚拟环境使其成为当前终端会话的活动环境。运行： source myenv/bin/activate 3.与notebook连接 在虚拟环境中，使用 pip 安装 Jupyter 和 ipykernel： pip instal
阅读更多...
内核启动时减少log的方式

内核启动时减少log的方式

内核引导选项 内核引导选项大体上可以分为两类：一类与设备无关、另一类与设备有关。与设备有关的引导选项多如牛毛，需要你自己阅读内核中的相应驱动程序源码以获取其能够接受的引导选项。比如，如果你想知道可以向 AHA1542 SCSI 驱动程序传递哪些引导选项，那么就查看 drivers/scsi/aha1542.c 文件，一般在前面 100 行注释里就可以找到所接受的引导选项说明。大多数选项是通过"_
阅读更多...
usaco 1.3 Mixing Milk (结构体排序 qsort) and hdu 2020(sort)

usaco 1.3 Mixing Milk (结构体排序 qsort) and hdu 2020(sort)

到了这题学会了结构体排序 于是回去修改了 1.2 milking cows 的算法~ 结构体排序核心： 1.结构体定义 struct Milk{int price;int milks;}milk[5000]; 2.自定义的比较函数，若返回值为正，qsort 函数判定a>b ；为负，a<b；为0，a==b； int milkcmp(const void *va,c
阅读更多...
零基础学习Redis(10) -- zset类型命令使用

零基础学习Redis(10) -- zset类型命令使用

zset是有序集合，内部除了存储元素外，还会存储一个score，存储在zset中的元素会按照score的大小升序排列，不同元素的score可以重复，score相同的元素会按照元素的字典序排列。 1. zset常用命令 1.1 zadd  zadd key [NX | XX] [GT | LT]   [CH] [INCR] score member [score member ...]
阅读更多...
30常用 Maven 命令

30常用 Maven 命令

Maven 是一个强大的项目管理和构建工具，它广泛用于 Java 项目的依赖管理、构建流程和插件集成。Maven 的命令行工具提供了大量的命令来帮助开发人员管理项目的生命周期、依赖和插件。以下是 常用 Maven 命令的使用场景及其详细解释。 1. mvn clean 使用场景：清理项目的生成目录，通常用于删除项目中自动生成的文件（如 target/ 目录）。共性规律：清理操作
阅读更多...
用命令行的方式启动.netcore webapi

用命令行的方式启动.netcore webapi

用命令行的方式启动.netcore web项目 进入指定的项目文件夹，比如我发布后的代码放在下面文件夹中 在此地址栏中输入“cmd”，打开命令提示符，进入到发布代码目录 命令行启动.netcore项目的命令为:  dotnet 项目启动文件.dll --urls="http://*:对外端口" --ip="本机ip" --port=项目内部端口 例： dotnet Imagine.M
阅读更多...
Linux_kernel驱动开发11

Linux_kernel驱动开发11

一、改回nfs方式挂载根文件系统         在产品将要上线之前，需要制作不同类型格式的根文件系统         在产品研发阶段，我们还是需要使用nfs的方式挂载根文件系统         优点：可以直接在上位机中修改文件系统内容，延长EMMC的寿命         【1】重启上位机nfs服务         sudo service nfs-kernel-server resta
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2