ssl协议存在弱加密算法修复，禁用低版本的TLS

验证用网站：https://www.ssleye.com/ssltool/cipher_suites.html

https://www.site24x7.com/zhcn/tools/tls-checker.html

使用 nmap 对 SSL 协议进行检测，SSL协议存在弱加密算法。( nma
-sV -p 443--script ssl-enum-ciphers om.apuscn.com)

# nmap -sV -p 443 --script ssl-enum-ciphers cax.xx.cn

Starting Nmap 6.40 ( http://nmap.org ) at 2024-03-12 14:55 CST

Nmap scan report for cax.xx.cn (10x.xx.x.x2)

Host is up (0.013s latency).

Other addresses for cax.xx.cn (not scanned): 10x.x.xx.234

PORT    STATE SERVICE    VERSION

443/tcp open  ssl/https?

| ssl-enum-ciphers:

|   SSLv3: No supported ciphers found

|   TLSv1.0:

|     ciphers:

|       TLS_RSA_WITH_AES_128_CBC_SHA - strong

|       TLS_RSA_WITH_AES_256_CBC_SHA - strong

|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - strong

|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - strong

|     compressors:

|       NULL

|   TLSv1.1:

|     ciphers:

|       TLS_RSA_WITH_AES_128_CBC_SHA - strong

|       TLS_RSA_WITH_AES_256_CBC_SHA - strong

|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - strong

|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - strong

|     compressors:

|       NULL

|   TLSv1.2:

|     ciphers:

|       TLS_RSA_WITH_AES_128_CBC_SHA - strong

|       TLS_RSA_WITH_AES_128_CBC_SHA256 - strong

|       TLS_RSA_WITH_AES_128_CCM - strong

|       TLS_RSA_WITH_AES_128_CCM_8 - strong

|       TLS_RSA_WITH_AES_128_GCM_SHA256 - strong

|       TLS_RSA_WITH_AES_256_CBC_SHA - strong

|       TLS_RSA_WITH_AES_256_CBC_SHA256 - strong

|       TLS_RSA_WITH_AES_256_CCM - strong

|       TLS_RSA_WITH_AES_256_CCM_8 - strong

|       TLS_RSA_WITH_AES_256_GCM_SHA384 - strong

|       TLS_RSA_WITH_ARIA_128_GCM_SHA256 - strong

|       TLS_RSA_WITH_ARIA_256_GCM_SHA384 - strong

|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - strong

|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA256 - strong

|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - strong

|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA256 - strong

|     compressors:

|       NULL

|_  least strength: strong

1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at http://www.insecure.org/cgi-bin/servicefp-submit.cgi :

SF-Port443-TCP:V=6.40%T=SSL%I=7%D=3/12%Time=65EFFC5F%P=x86_64-redhat-linux

SF:-gnu%r(GetRequest,CC,"HTTP/1\.1\x20404\x20Not\x20Found\r\nServer:\x20op

SF:enresty\r\nDate:\x20Tue,\x2012\x20Mar\x202024\x2006:55:27\x20GMT\r\nCon

SF:tent-Type:\x20text/html;\x20charset=UTF-8\r\nConnection:\x20close\r\nVa

SF:ry:\x20Accept-Encoding\r\nAccess-Control-Allow-Credentials:\x20true\r\n

SF:\r\n")%r(HTTPOptions,CC,"HTTP/1\.1\x20404\x20Not\x20Found\r\nServer:\x2

SF:0openresty\r\nDate:\x20Tue,\x2012\x20Mar\x202024\x2006:55:33\x20GMT\r\n

SF:Content-Type:\x20text/html;\x20charset=UTF-8\r\nConnection:\x20close\r\

SF:nVary:\x20Accept-Encoding\r\nAccess-Control-Allow-Credentials:\x20true\

SF:r\n\r\n")%r(RTSPRequest,9A,"<html>\r\n<head><title>400\x20Bad\x20Reques

SF:t</title></head>\r\n<body>\r\n<center><h1>400\x20Bad\x20Request</h1></c

SF:enter>\r\n<hr><center>openresty</center>\r\n</body>\r\n</html>\r\n")%r(

SF:RPCCheck,12F,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nServer:\x20openrest

SF:y\r\nDate:\x20Tue,\x2012\x20Mar\x202024\x2006:55:33\x20GMT\r\nContent-T

SF:ype:\x20text/html\r\nContent-Length:\x20154\r\nConnection:\x20close\r\n

SF:\r\n<html>\r\n<head><title>400\x20Bad\x20Request</title></head>\r\n<bod

SF:y>\r\n<center><h1>400\x20Bad\x20Request</h1></center>\r\n<hr><center>op

SF:enresty</center>\r\n</body>\r\n</html>\r\n")%r(DNSVersionBindReq,12F,"H

SF:TTP/1\.1\x20400\x20Bad\x20Request\r\nServer:\x20openresty\r\nDate:\x20T

SF:ue,\x2012\x20Mar\x202024\x2006:55:33\x20GMT\r\nContent-Type:\x20text/ht

SF:ml\r\nContent-Length:\x20154\r\nConnection:\x20close\r\n\r\n<html>\r\n<

SF:head><title>400\x20Bad\x20Request</title></head>\r\n<body>\r\n<center><

SF:h1>400\x20Bad\x20Request</h1></center>\r\n<hr><center>openresty</center

SF:>\r\n</body>\r\n</html>\r\n")%r(DNSStatusRequest,12F,"HTTP/1\.1\x20400\

SF:x20Bad\x20Request\r\nServer:\x20openresty\r\nDate:\x20Tue,\x2012\x20Mar

SF:\x202024\x2006:55:33\x20GMT\r\nContent-Type:\x20text/html\r\nContent-Le

SF:ngth:\x20154\r\nConnection:\x20close\r\n\r\n<html>\r\n<head><title>400\

SF:x20Bad\x20Request</title></head>\r\n<body>\r\n<center><h1>400\x20Bad\x2

SF:0Request</h1></center>\r\n<hr><center>openresty</center>\r\n</body>\r\n

SF:</html>\r\n")%r(Help,12F,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nServer:

SF:\x20openresty\r\nDate:\x20Tue,\x2012\x20Mar\x202024\x2006:55:33\x20GMT\

SF:r\nContent-Type:\x20text/html\r\nContent-Length:\x20154\r\nConnection:\

SF:x20close\r\n\r\n<html>\r\n<head><title>400\x20Bad\x20Request</title></h

SF:ead>\r\n<body>\r\n<center><h1>400\x20Bad\x20Request</h1></center>\r\n<h

SF:r><center>openresty</center>\r\n</body>\r\n</html>\r\n");

Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .

Nmap done: 1 IP address (1 host up) scanned in 27.18 seconds

修复建议：

修复建议：

1.打开Nginx配置文件：

sudo nano /etc/nginx/nginx.conf

2.在配置文件中找到SSL配置部分。通常在server块中的location块中配置SSL。您需要确保以下配置中包含了安全的TLS版本和密码套件。

停用不安全的TLS版本：

ssl_protocols TLSv1.2 TLSv1.3;

这将仅启用TLS 1.2和1.3版本，而禁用TLS 1.0和1.1版本。

停用弱密码套件和加密算法：

ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:!DES:!RC4:!MD5:!3DES';

这将配置Nginx使用更安全的密码套件，以及支持前向安全性的ECDHE（椭圆曲线Diffie-Hellman）密钥交换。

3.重新加载Nginx配置以使更改生效：

sudo systemctl reload nginx

修改配置：注意ssl_protocols和ssl_ciphers的值需要加上引号

git:(machangwei5) cat rewrite/2gexxch-ssl

    ssl_certificate      ssl/gx x x.cn.crt;

    ssl_certificate_key  ssl/xxx.cn.key;

    ssl_session_timeout  5m;

    ssl_protocols  'TLSv1.2';

    ssl_ciphers  'Hxxxxxxxxxx5';

    ssl_prefer_server_ciphers  on;

效果如下

# nmap -sV -p 443 --script ssl-enum-ciphers machangweitest.xxxh.cn

Starting Nmap 6.40 ( http://nmap.org ) at 2024-03-13 10:18 CST

Nmap scan report for machangweitest.xxx.cn (10x.x.x.32)

Host is up (0.013s latency).

PORT    STATE SERVICE    VERSION

443/tcp open  ssl/https?

| ssl-enum-ciphers:

|_  SSLv3: No supported ciphers found

1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at http://www.insecure.org/cgi-bin/servicefp-submit.cgi :

SF-Port443-TCP:V=6.40%T=SSL%I=7%D=3/13%Time=65F10D1C%P=x86_64-redhat-linux

SF:-gnu%r(GetRequest,CC,"HTTP/1\.1\x20404\x20Not\x20Found\r\nServer:\x20op

SF:enresty\r\nDate:\x20Wed,\x2013\x20Mar\x202024\x2002:19:08\x20GMT\r\nCon

SF:tent-Type:\x20text/html;\x20charset=UTF-8\r\nConnection:\x20close\r\nVa

SF:ry:\x20Accept-Encoding\r\nAccess-Control-Allow-Credentials:\x20true\r\n

SF:\r\n")%r(HTTPOptions,CC,"HTTP/1\.1\x20404\x20Not\x20Found\r\nServer:\x2

SF:0openresty\r\nDate:\x20Wed,\x2013\x20Mar\x202024\x2002:19:13\x20GMT\r\n

SF:Content-Type:\x20text/html;\x20charset=UTF-8\r\nConnection:\x20close\r\

SF:nVary:\x20Accept-Encoding\r\nAccess-Control-Allow-Credentials:\x20true\

SF:r\n\r\n")%r(RTSPRequest,9A,"<html>\r\n<head><title>400\x20Bad\x20Reques

SF:t</title></head>\r\n<body>\r\n<center><h1>400\x20Bad\x20Request</h1></c

SF:enter>\r\n<hr><center>openresty</center>\r\n</body>\r\n</html>\r\n")%r(

SF:RPCCheck,12F,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nServer:\x20openrest

SF:y\r\nDate:\x20Wed,\x2013\x20Mar\x202024\x2002:19:13\x20GMT\r\nContent-T

SF:ype:\x20text/html\r\nContent-Length:\x20154\r\nConnection:\x20close\r\n

SF:\r\n<html>\r\n<head><title>400\x20Bad\x20Request</title></head>\r\n<bod

SF:y>\r\n<center><h1>400\x20Bad\x20Request</h1></center>\r\n<hr><center>op

SF:enresty</center>\r\n</body>\r\n</html>\r\n")%r(DNSVersionBindReq,12F,"H

SF:TTP/1\.1\x20400\x20Bad\x20Request\r\nServer:\x20openresty\r\nDate:\x20W

SF:ed,\x2013\x20Mar\x202024\x2002:19:13\x20GMT\r\nContent-Type:\x20text/ht

SF:ml\r\nContent-Length:\x20154\r\nConnection:\x20close\r\n\r\n<html>\r\n<

SF:head><title>400\x20Bad\x20Request</title></head>\r\n<body>\r\n<center><

SF:h1>400\x20Bad\x20Request</h1></center>\r\n<hr><center>openresty</center

SF:>\r\n</body>\r\n</html>\r\n")%r(DNSStatusRequest,12F,"HTTP/1\.1\x20400\

SF:x20Bad\x20Request\r\nServer:\x20openresty\r\nDate:\x20Wed,\x2013\x20Mar

SF:\x202024\x2002:19:13\x20GMT\r\nContent-Type:\x20text/html\r\nContent-Le

SF:ngth:\x20154\r\nConnection:\x20close\r\n\r\n<html>\r\n<head><title>400\

SF:x20Bad\x20Request</title></head>\r\n<body>\r\n<center><h1>400\x20Bad\x2

SF:0Request</h1></center>\r\n<hr><center>openresty</center>\r\n</body>\r\n

SF:</html>\r\n")%r(Help,12F,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nServer:

SF:\x20openresty\r\nDate:\x20Wed,\x2013\x20Mar\x202024\x2002:19:13\x20GMT\

SF:r\nContent-Type:\x20text/html\r\nContent-Length:\x20154\r\nConnection:\

SF:x20close\r\n\r\n<html>\r\n<head><title>400\x20Bad\x20Request</title></h

SF:ead>\r\n<body>\r\n<center><h1>400\x20Bad\x20Request</h1></center>\r\n<h

SF:r><center>openresty</center>\r\n</body>\r\n</html>\r\n");

Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .

Nmap done: 1 IP address (1 host up) scanned in 19.05 seconds

Segmentation fault (core dumped)

但是上面，还是不行，可以用检查网站测试一下

修改为如下：

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:!DES:!RC4:!MD5:!3DES';

再次检查，其他禁用，1.2启用，而1.3是不支持

验证用网站：

https://www.site24x7.com/zhcn/tools/tls-checker.html

https://www.ssleye.com/ssltool/cipher_suites.html

ssl协议存在弱加密算法修复，禁用低版本的TLS的更多相关文章

用了 HTTPS 还不安全，问题就出在低版本 TLS 上
HTTPS 加密时代已经来临,近两年,Google.Baidu.Facebook 等互联网巨头,不谋而合地开始大力推行 HTTPS, 2018 年 7 月 25 日,Chrome 68 上线,所有 H ...
基于SSL协议的双向认证 - SSL协议 [1]
1 概要说明在互联网通信方式中,目前用的最广泛的是HTTPS配合SSL和数字证书来保证传输和认证安全了. 2 详细介绍 2.1 HTTPS HTTPS全称:Hypertext Transf ...
浅析nodeJS中的Crypto模块，包括hash算法，HMAC算法，加密算法知识，SSL协议
node.js的crypto在0.8版本,这个模块的主要功能是加密解密. node利用 OpenSSL库(https://www.openssl.org/source/)来实现它的加密技术, 这是因为 ...
阿里云服务器通过JavaMail发送邮箱STMP问题（ 25端口被禁用使用SSL协议465端口）
我们传统使用的比较简单的是 STMP 25端口收发邮件今天发现刚购买的阿里云服务器不能作为客户端通过STMP 25端口发送邮件开始在网上有说发现是JDK1.8的原因,然后自己也把JDK1.8换到了 ...
阿里云服务器通过JavaMail发送邮箱STMP问题 25端口被禁用使用SSL协议465端口
1 问题描述我们传统使用的比较简单的是 STMP 25端口收发邮件今天发现刚购买的阿里云服务器不能作为客户端通过STMP 25端口发送邮件开始在网上有说发现是JDK1.8的原因,然后自己也把JD ...
ssl协议
在互联网安全通信方式上,目前用的最多的就是https配合ssl和数字证书来保证传输和认证安全了.本文追本溯源围绕这个模式谈一谈. 1.首先解释一下上面的几个名词: https:在http(超文本传输协 ...
【转】SSL协议、SET协议、HTTPS简介
一.SSL协议简介 SSL是Secure Socket Layer的缩写,中文名为安全套接层协议层.使用该协议后,您提交的所有数据会首先加密后,再提交到网易邮箱,从而可以有效防止黑客盗取您的用户名.密 ...
SSL协议的握手过程
SSL握手的目的第一,客户端与服务器需要就一组用于保护数据的算法达成一致. 第二,它们需要确立一组由那些算法所使用的加密密钥. 第三,握手还可以选择对客户端进行认证. SSL 握手概述 SSL 握手 ...
HTTPS（身披SSL协议的HTTP）
参考链接: HTTP 与 HTTPS 的区别 HTTPS科普扫盲帖 HTTPS小结 HTTP 和 HTTPS 区别 HTTP是明文传输未加密,安全性差,HTTPS(HTTP + SSL)数据传输是加密 ...
SSL协议(HTTPS) 握手、工作流程详解(双向HTTPS流程)
原文地址:http://www.cnblogs.com/jifeng/archive/2010/11/30/1891779.html SSL协议的工作流程: 服务器认证阶段:1)客户端向服务器发送一个 ...

随机推荐

Java 枚举（Enums）解析：提高代码可读性与易维护性
接口在 Java 中,实现抽象的另一种方式是使用接口. 接口定义接口是一个完全抽象的类,用于将具有空方法体的相关方法分组: // 接口 interface Animal { public void ...
MyBatis-Plus 代码生成（新）
MyBatis-Plus 的代码生成功能十分人性化,即支持通过简单的配置实现,也可以通过自定义模板实现. 这里列出项目中的常用配置供参考,其他配置可以参考官网:https://baomidou.com ...
标签栏切换效果 JS
标签栏切换效果 JS 要求:class为tab-box的元素用于实现标签栏的外边框,,分别实现标签栏的标签部分和内容部分. html <div class="tab-box" ...
通过path在windows下临时修改python和pip路径以便于配置环境只对当前命令行窗口生效
配置前在cmd命令行下输入新env的路径 path=D:\Miniconda2\envs\openmmlab\openmmlab;D:\Miniconda2\envs\openmmlab\openm ...
外屏和宽屏浪费了？HarmonyOS折叠屏设计规范教你用起来
原文:https://mp.weixin.qq.com/s/7_mdRom7sCA3Z65ih6W3xw,点击链接查看更多技术内容. 这几年折叠屏手机很火,我们针对使用HarmonyOS的折叠屏手机提 ...
BI、OLAP、多维分析、CUBE 这几个词是什么关系？
这些词我们在建设分析型应用时经常会听到,这几个词也经常被弄混,这里来梳理一下. BIBI 是 Business Intelligence(商业智能)的缩写,是指企业利用已有数据进行数据分析从而指导商业 ...
重新点亮linux 命令树————rpm软件包管理[十一七]
前言简单介绍一下软件管理正文软件包管理器 rpm 包和rpm 命令 yum 仓库源代码编译安装内核升级 grub配置文件软件包管理器: 包管理器是为了方便软件安装.卸载,解决软件依赖关系的 ...
VulnHub-ical打靶记录
这绝对是最简单的一个题目了. 目标发现 netdiscover -r 192.168.0.10/24 根据靶场和本地系统的网段进行扫描. 信息收集 nmap -sV -Pn -sT -sC -A 19 ...
nohup训练pytorch模型时的报错以及tmux的简单使用
问题: 在使用nohup命令后台训练pytorch模型时,关闭ssh窗口,有时会遇到下面报错: WARNING:torch.distributed.elastic.agent.server.api:R ...
leetcode：763. 划分字母区间
763. 划分字母区间字符串 S 由小写字母组成.我们要把这个字符串划分为尽可能多的片段,同一个字母只会出现在其中的一个片段.返回一个表示每个字符串片段的长度的列表. 示例 1: 输入: S = & ...

ssl协议存在弱加密算法修复，禁用低版本的TLS

ssl协议存在弱加密算法修复，禁用低版本的TLS的更多相关文章

随机推荐

热门专题