主机、web漏洞修复整理

原创

已于 2022-10-26 15:57:43 修改 · 9k 阅读

47 ·

CC 4.0 BY-SA版权

文章标签：

#centos #运维

于 2022-10-26 15:49:37 首次发布

本文整理了系统安全扫描中主机和Web的漏洞及修复记录。主机漏洞包括ICMP timestamp请求响应、允许Traceroute探测等；Web漏洞有Host头攻击、不安全的Referrer Policy等。针对不同漏洞给出了详细描述、建议及修复方法，部分内网环境漏洞未做修复。

整理安扫漏洞及修复记录

维护系统项目验收前需要做安全扫描，检测主机、web等安全漏洞，现把发现的漏洞修复整理记录一下

主机漏洞

1. ICMP timestamp请求响应漏洞，

描述：
远程主机会回复ICMP_TIMESTAMP查询并返回它们系统的当前时间。这可能允许攻击者攻击一些基于时间认证的协议。

修复：
在您的防火墙上过滤外来的ICMP timestamp（类型 13）报文以及外出的ICMP timestamp回复报文。

sudo iptables -A INPUT -p ICMP --icmp-type timestamp-request -j DROP
sudo iptables -A INPUT -p ICMP --icmp-type timestamp-reply -j DROP
sudo iptables -A OUTPUT -p ICMP --icmp-type timestamp-reply -j DROP

2. 允许Traceroute探测

描述：
本插件使用Traceroute探测来获取扫描器与远程主机之间的路由信息。攻击者也可以利用这些信息来了解目标网络的网络拓扑。

修复：
在防火墙出站规则中禁用echo-reply（type 0）、time-exceeded（type 11）、destination-unreachable（type 3）类型的ICMP包。

 sudo iptables -A INPUT -p ICMP --icmp-type time-exceeded -j DROP
 sudo iptables -A OUTPUT -p ICMP --icmp-type time-exceeded -j DROP

  sudo iptables -A INPUT -p ICMP --icmp-type echo-reply -j DROP
  sudo iptables -A OUTPUT -p ICMP --icmp-type echo-reply -j DROP

  sudo iptables -A INPUT -p ICMP --icmp-type destination-unreachable -j DROP
  sudo iptables -A OUTPUT -p ICMP --icmp-type destination-unreachable -j DROP

3. 远端WEB服务器上存在/robots.txt文件

描述：
一些WEB服务器通过设置/robots.txt使得一些搜索引擎或者索引工具更方便有效地工作。但/robots.txt中往往存在一些系统信息，可能使攻击者获得该系统的额外信息。

修复：
如果您的robots.txt中包含敏感信息，删除该文件。

#查找文件位置
find / -name robots.txt  
#以下是我自己系统文件所在的为主
/usr/share/cups/www/robots.txt 
/usr/share/nginx/html/robots.txt
#分别进入目录后删除文件：
cd /usr/share/cups/www/     
rm -rf robots.txt
cd /usr/share/nginx/html/
rm -rf robots.txt

4. SSH版本信息可被获取

描述：
SSH服务允许远程攻击者获得ssh的具体信息，如版本号等等。这可能为攻击者发动进一步攻击提供帮助。

修改：
修改源代码或者配置文件改变SSH服务的缺省banner。

#创建banner文件；如果有就不需要创建了
touch /etc/ssh/ssh_banner
#写入登陆时要显示的banner信息
echo "Wecome to use system" > /etc/ssh/ssh_banner
#编辑文件，添加banner文件路径
vim /etc/ssh/sshd_config
#找到 #Banner none在下面添加路径；
#Banner none
Banner /etc/ssh/ssh_banner
#重启ssh
systemctl restart sshd
<