linux服务器最近的漏洞扫描问题及解决方法

Posted 2022-03-16 格格巫 MMQ!!

最近对linux服务器的漏洞进行了全方位的扫描，发现如下问题，以供同行参考：

漏洞描述
漏洞名称 猜测出远程SNMP服务存在可登录的用户名口令
详细描述 本次扫描通过暴力猜测方式证实目标主机上的SNMP服务存在可猜测的口令。

远程攻击者可通过猜测出的用户名口令对目标主机实施进一步的攻击，这将极大地威胁目标主机以及目标网络的安全。
解决办法 建议您采取以下措施以降低威胁:

• 如果SNMP服务不是必须的，建议停止此服务。

• 修改用户口令，设置足够强度的口令。
  威胁分值 5
  危险插件 否
  漏洞名称 Oracle Database Server远程安全漏洞(CVE-2013-3774)
  详细描述 Oracle Database Server是一个对象一关系数据库管理系统。它提供开放的、全面的、和集成的信息管理方法。

Oracle Database Server在Network Layer组件的实现上存在远程安全漏洞，此漏洞可通Oracle Net协议利用，未经身份验证的远程攻击者可利用此漏洞影响下列版本的机密性、完整性、可用性：10.2.0.4, 10.2.0.5, 11.1.0.7, 11.2.0.2, 11.2.0.3
解决办法 Oracle

Oracle已经为此发布了一个安全公告（cpujuly2013-1899826）以及相应补丁:
cpujuly2013-1899826：Oracle Critical Patch Update Advisory - July 2013
链接：http://www.oracle.com/technetwork/topics/security/cpujuly2013-1899826.html

威胁分值 7
漏洞描述
漏洞名称 Oracle Database Server本地安全漏洞(CVE-2013-3771)
详细描述 Oracle Database Server是一个对象一关系数据库管理系统。它提供开放的、全面的、和集成的信息管理方法。

Oracle Database Server在Oracle executable组件的实现上存在本地安全漏洞，此漏洞可通过本地协议利用，未经身份验证的远程攻击者可利用此漏洞影响下列版本的机密性、完整性、可用性：10.2.0.4, 10.2.0.5, 11.1.0.7, 11.2.0.2, 11.2.0.3
解决办法 Oracle

Oracle已经为此发布了一个安全公告（cpujuly2013-1899826）以及相应补丁:
cpujuly2013-1899826：Oracle Critical Patch Update Advisory - July 2013
链接：http://www.oracle.com/technetwork/topics/security/cpujuly2013-1899826.html

威胁分值 7
漏洞描述
漏洞名称 OpenSSH 'schnorr.c’远程内存破坏漏洞(CVE-2014-1692)
详细描述 OpenSSH是SSH协议的开源实现。

OpenSSH 6.4版本及之前版本，如果Makefile.inc修改为启用J-PAKE协议，schnorr.c内的hash_buffer函数就不会初始化某些数据结构，这可使远程攻击者造成拒绝服务（内存破坏）。
解决办法
厂商补丁：

OpenSSH

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.openssh.com/

yum update openssh*

威胁分值 7
详细描述 本次扫描通过暴力猜测方式证实目标主机上的FTP服务存在可猜测的口令。

远程攻击者可通过猜测出的用户名口令对目标主机实施进一步的攻击，这将极大地威胁目标主机以及目标网络的安全。
解决办法 建议您采取以下措施以降低威胁:

• 如果FTP服务不是必须的，建议停止此服务。

• 修改用户口令，设置足够强度的口令。
  威胁分值 5
  详细描述 入侵者可以通过SNMP协议获得目标主机上的开放的TCP/UDP端口列表。

这些端口信息一般来说比通过端口扫描得到的信息更为准确，攻击者可以利用这些端口信息来判断目标主机上开放的服务、了解防火墙规则，发起进一步的攻击。
解决办法 建议您采取以下措施以降低威胁：

• 修改SNMP缺省口令或者禁止SNMP服务:

在Solaris系统下，修改/etc/snmp/conf/snmpd.conf
中缺省的口令,然后执行下列命令使之生效：
#/etc/init.d/init.snmpdx stop
#/etc/init.d/init.snmpdx start

在Solaris系统下,执行下列命令可以禁止SNMP服务：

/etc/init.d/init.snmpdx stop

mv /etc/rc3.d/S76snmpdx /etc/rc3.d/s76snmpdx

对于Windows系统，您可以参考以下方法关闭SNMP服务(以Windows 2000为例)：
打开控制面板，双击“添加或删除程序”，选择“添加/删除Windows组件”，选中“管理和监视工具”，双击打开，取消“简单网络管理协议”复选框，按确定，然后按照提示完成操作。

在Cisco路由器上您可以使用如下方式来修改、删除SNMP口令：

1. telnet或者通过串口登录进入您的Cisco路由器

2. 进入enable口令：

Router>enable
Password:
Router#

3. 显示路由器上当前的snmp配置情况：

Router#show running-config
Building configuration…
…
…
snmp-server community public RO
snmp-server community private RW
…
…

4. 进入配置模式：

Router#configure terminal
Enter configuration commands, one per line.? End with CNTL/Z.
Router(config)#

您可以选用下面三种方法中的一种或者结合使用：

(1) 如果您不需要通过SNMP进行管理，可以禁止SNMP Agent服务：

将所有的只读、读写口令删除后，SNMP Agent服务就禁止

a. 删除只读(RO)口令：

Router(config)#no snmp-server community public RO
…

b. 删除读写(RW)口令

Router(config)#no snmp-server community private RW
…

(2) 如果您仍需要使用SNMP，修改SNMP口令，使其不易被猜测：

a. 删除原先的只读或者读写口令：

Router(config)#no snmp-server community public RO
Router(config)#no snmp-server community private RW

b. 设置新的只读和读写口令，口令强度应该足够，不易被猜测。

Router(config)#no snmp-server community XXXXXXX RO
Router(config)#no snmp-server community YYYYYYY RW

(3) 只允许信任主机通过SNMP口令访问(以对只读口令’public’为例)

a. 创建一个访问控制列表(假设名为66):

router(config)#access-list 66 deny any

b. 禁止任何人访问public口令：

router(config)#snmp-server community public ro 66

c. 设置允许使用public口令进行访问的可信主机(1.2.3.4)：

router(config)#snmp-server host 1.2.3.4 public

对于读写口令的访问限制同上。

在对SNMP口令进行修改、删除等操作之后，需要执行write memory命令保存设置：

router(config)#exit (退出congigure模式)
router#write memory (保存所作设置)

• 在防火墙上过滤掉对内部网络UDP 161端口的访问。

威胁分值 2