一次bilibili的漏洞扫描

拿到bilibili的shell，到时为所欲为，嘿嘿嘿。nmap命令：nmap -O bilibili.com；没。nmap -A -T4 bilibili.com；有！

以下是对该 SSL/TLS 扫描结果的深技术分析及安全加固建议：

---

1. 协议与加密套件分析

观察结果

- 协议版本: TLSv1.2 (100%)
- 支持加密套件:
  * ECDHE-RSA-AES256-GCM-SHA384 (前向保密)
  * DHE-RSA-AES256-GCM-SHA384 (完美前向保密)
  * AES256-GCM-SHA384 (静态密钥)
  * CBC 模式套件 (AES256-SHA256) <危险>

风险等级评估

协议/套件	安全等级	风险说明
TLSv1.2	★★★★☆	目前安全，但缺乏 TLSv1.3 支持
ECDHE-RSA	★★★★★	完美前向保密
DHE-RSA	★★★★☆	消耗更多计算资源
AES-GCM	★★★★★	推荐 AEAD 模式
CBC 模式	★★☆☆☆	存在 Lucky13 攻击风险

---

2. 证书安全分析

证书特征

颁发机构: GlobalSign RSA OV SSL CA 2018
有效期: 2024-10-31 至 2025-12-02 (13个月)
密钥类型: RSA 2048 (SHA256WithRSA)
SAN: *.bilibili.com, bilibili.com

风险矩阵

项目	现状	最佳实践
证书类型	DV OV	EV 证书
密钥强度	RSA 2048	ECC 256
有效期	13个月	≤ 1年
透明度	未显示	启用 CT 日志

---

3. 安全加固方案

Tengine 配置优化

# /etc/nginx/conf.d/ssl.conf
ssl_protocols TLSv1.2 TLSv1.3;  # 强制现代协议
ssl_ciphers "TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-ECDSA-AES256-GCM-SHA384";
ssl_prefer_server_ciphers on;    # 强制服务端套件优先级
ssl_ecdh_curve X25519:secp521r1; # 优化 ECDH 参数
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_stapling on;                 # 启用 OCSP Stapling
ssl_stapling_verify on;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

证书管理策略

bash

复制

# 自动化证书轮换 (Let's Encrypt 示例)
certbot renew \
  --pre-hook "systemctl stop nginx" \
  --post-hook "systemctl start nginx" \
  --force-renewal \
  --no-self-upgrade

攻击面缩减

# 禁用遗留协议 (通过 iptables)
iptables -A INPUT -p tcp --dport 443 -m conntrack \
  --ctstate NEW -m comment --comment "Block legacy SSL" \
  -m string --string "\x16\x03\x00" --algo bm -j DROP

iptables -A INPUT -p tcp --dport 443 -m conntrack \
  --ctstate NEW -m comment --comment "Block legacy SSL" \
  -m string --string "\x16\x03\x01" --algo bm -j DROP

---

4. 企业级监控方案

实时威胁检测

# Suricata 检测规则示例 alert tls any any -> any any ( msg:"Bilibili 异常 TLS 协商"; tls.version: 1.2; tls.ciphersuite: "0x0035"; # 检测使用 AES128-SHA 的协商 flow: established; sid: 9000001; rev: 1; )

证书透明度监控

# cert_monitor.py (证书过期提醒) import OpenSSL, ssl, datetime def check_cert(domain): cert = ssl.get_server_certificate((domain, 443)) x509 = OpenSSL.crypto.load_certificate(OpenSSL.crypto.FILETYPE_PEM, cert) expire_date = x509.get_notAfter().decode('utf-8') return datetime.datetime.strptime(expire_date, '%Y%m%d%H%M%SZ') if check_cert('bilibili.com') < datetime.datetime.now() + datetime.timedelta(days=30): print("证书即将过期！")

---

5. 合规性要求

中国等保2.0

- 第四级要求:
  * 必须禁用 TLSv1.1 及以下版本
  * 密钥长度 ≥ 2048 位 (符合)
  * 启用国密算法套件 (需额外配置)

PCI DSS v4.0

- 要求 4.2.1:
  * 禁用 SSLv3/TLSv1.0 (已符合)
  * 支持 TLSv1.2 或更高 (符合)
  * 禁用 CBC 模式套件 (需优化)

---

6. 法律风险提示

1. 渗透测试授权：

   • 根据《网络安全法》第27条，对关键信息基础设施的扫描需获得书面授权

   • 依据《刑法》第285条，非法入侵最高可处三年有期徒刑

2. 漏洞披露规范：

   • 通过 CNNVD 或 CNVD 提交漏洞

   • 遵循 ISO/IEC 29147 漏洞披露流程

---

7. 进阶测试建议

SSL/TLS 模糊测试

# 使用 TLS-Attacker 进行协议测试
java -jar TLS-Attacker.jar client -connect bilibili.com:443 \
  -protocol_version TLS13 \
  -cipher TLS_AES_256_GCM_SHA384 \
  -fuzzing_mode FULL

CDN 绕过检测

# 查询历史解析记录
curl "https://securitytrails.com/domain/bilibili.com/dns"

---

差一年EV 证书过期，等吧，对了，厉害了我的国！