Bir Linux sunucusuna savunmasız bir OpenSSL sürümü nasıl kurulur?

9

Bir takım web güvenlik sorunu için ayarladığım bir sunucuda Heartbleed-savunmasız bir OpenSSL sürümünü derlemek ve yüklemek istiyorum (bunlar Ubuntu'nun deposundan bariz nedenlerle yüklenemediğinden).

Sağlanan talimatları kullanarak (Open ./config, sonra makeve çalıştır make install) OpenSSL 1.0.1f kaynağından indirip derledim ve GitHub'dan açık olarak bulunan Heartbleed POC'yi çalıştırmayı denedim bilgisayarımdan , ancak komut dosyası bana hiçbir kalp atışı yanıtı alınmadığını ve sunucu muhtemelen savunmasız değildir.

Running openssl versionşu çıktıyı üretir: OpenSSL 1.0.1f 6 Ocak 2014 . Tabii ki bir SSL sertifikası kurdum ve SSL erişimi sunucuda çalışıyor.

OpenSSL, Apache 2.4.7 ile çalışacak şekilde kurulur.

Biri yardım edebilir mi?

openssl heartbleed

— mittelmania
kaynak

3

Genel olarak, eski sürümleri ve Linux dağıtımlarını test etmenin iyi bir yolu, dağıtımın eski ISO görüntülerini indirmek ve muhtemelen bunu kullanarak bir VM yüklemektir. Bu pakette tüm paketler mevcut değildir, ancak OpenSSL kesinlikle olacaktır.

— Bruno

Debian ambalajına biraz aşina iseniz, mevcut openssl kaynak paketinizi indirmek, CVE-2014-0160.patch dosyasını kaldırmak ve yeniden oluşturmak oldukça kolay olmalıdır.

— Matt Nordhoff

7

Burada olabilecek iki şey var:

Basit bir "./configure; make; make install" varsayılan olarak paylaşılan kitaplıkları yerleştirir /usr/local/lib. Ancak, sistem tarafından yüklenen kütüphaneler, /usr/libdaha önce kütüphane arama yolunda gelir. Sistemde yüklü olan OpenSSL sürümünü kaldırmazsanız, güvenlik açığından etkilenen sürüm bulunmaz.
Sistem kitaplıklarının üzerine yazsanız bile, Apache yeniden başlatılıncaya kadar değişiklik alınmaz. Silinen dosyalara açık dosya tanıtıcıları olan tüm programlar bu dosya tanıtıcılarını kapatana kadar erişilebilir (ve diskte yer kaplar).

— işaret
kaynak

7

Hangi sunucu yazılımı kullanılıyor?

OpenSSL ikilisinin savunmasız olmasına rağmen, bir işletim sistemi paketinden yüklenmiş bir web sunucusunun savunmasız olmayan bir kitaplık sürümü kullanıyor olması muhtemeldir.

Güvenlik açığından etkilenen bir dinleyiciyi çalıştırmanın en basit yolu, güvenlik açığından etkilenmek openssl s_serveriçin tam bir web sunucusuna ihtiyacınız varsa, güvenlik açığından etkilenen OpenSSL'ye karşı derlemeniz gerekecektir.

— Shane Madden
kaynak

1

Vay, s_serverbir şey olduğunu hiç bilmiyordum . s_clientSonsuza kadar kullanıyorum ve bir sunucu seçeneği de olması mantıklı.

— EEAA

1

@EEAA Evet, orada kaç farklı alt komutun tıkandığı delilik.

— Shane Madden