我正在为 Heartbleed 漏洞构建测试环境。因此我做了以下事情:
开始之前,我设置了 apache2 来使用 SSL(https://www.digitalocean.com/community/tutorials/how-to-create-a-ssl-certificate-on-apache-for-ubuntu-14-04)我运行了这个命令:
openssl s_client -connect [server IP] -tlsextdebug 2>&1 | grep 'server extension "heartbeat" (id=15)' || echo safe
它返回这个
TLS server extension "heartbeat" (id=15), len=1
==>心跳扩展正在被使用。我选择 Ubuntu server 12.04 作为操作系统
apt-get remove --purge
我使用以下方法彻底删除 Openssl 和 Apache2:apt-get autoremove
- 我从这里下载 Openssl 1.0.1e:https://www.openssl.org/source/old/1.0.1/
我使用以下命令构建它:
./config --prefix=/usr/openssl --openssldir=/usr/openssl make make install
- 使用以下命令重新安装 Apache2
apt-get install apache2
- 按照步骤0同样的方法检查,不过这次返回的是
safe
,表示心跳没有运行。
我现在怎样才能让它工作?
附加信息:从源代码构建 Openssl 后,我通过运行以下命令进行检查:
openssl genrsa -out server.pem 1024
openssl req -new -x509 -key server.pem -subj /CN=localhost >> server.pem
openssl s_server -www
并用Metasploit进行测试,结果显示该版本的Openssl存在漏洞。
使用命令openssl version
show 1.0.1e ==> 我构建的版本
答案1
下面是我为演示 CVE-2014-0160 而准备环境的脚本。
这里我无法发布下载链接,因为我的信誉不够。您需要将 openssl-1.0.1e.tar.gz、httpd-2.4.25.tar.gz、apr-1.5.2.tar.gz、apr-util-1.5.4.tar.gz、pcre-8.40.tar.gz 下载到您的主目录中。
#!/bin/sh
#Download installation files
cd ~
#Here I cannot post download link because I do not have enough reputation.
#You need to download openssl-1.0.1e.tar.gz, httpd-2.4.25.tar.gz, apr-1.5.2.tar.gz,
#apr-util-1.5.4.tar.gz, pcre-8.40.tar.gz into your home directory.
#Install compilers
yum -y groupinstall "Development Tools"
#Install pcre
cd ~
tar -zxvf pcre-8.40.tar.gz
cd pcre-8.40
./configure --prefix=/usr/local/pcre
make
make install
#Install openssl
cd ~
tar -zxvf openssl-1.0.1e.tar.gz
cd openssl-1.0.1e
./config --prefix=/opt/openssl-1.0.1e --openssldir=/opt/openssl-1.0.1e -fPIC -DOPENSSL_PIC
make
make install_sw
#Install openssl
cd ~
tar -zxvf openssl-1.0.1e.tar.gz
cd openssl-1.0.1e
./config --prefix=/opt/openssl-1.0.1e --openssldir=/opt/openssl-1.0.1e -fPIC -DOPENSSL_PIC
make
make install_sw
#Install httpd (using just installed opensll)
cd ~
tar -zxvf httpd-2.4.25.tar.gz
cd httpd-2.4.25/srclib/
tar zxvf ../../apr-1.5.2.tar.gz
ln -s apr-1.5.2/ apr
tar zxvf ../../apr-util-1.5.4.tar.gz
ln -s apr-util-1.5.4/ apr-util
cd ~
cd httpd-2.4.25
./configure --prefix=/opt/httpd --with-included-apr --enable-ssl --with-ssl=/opt/openssl-1.0.1e --enable-ssl-staticlib-deps --enable-mods-static=ssl --with-pcre=/usr/local/pcre
make
make install
#Add configuration to use HTTPS (port 443)
cd ~
sed -i '/^#.*Include conf\/extra\/httpd-ssl.conf/s/^#//' /opt/httpd/conf/httpd.conf
sed -i '/^#.*LoadModule socache_shmcb_module modules\/mod_socache_shmcb.so/s/^#//' /opt/httpd/conf/httpd.conf
cd ~
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /opt/httpd/conf/server.key -out /opt/httpd/conf/server.crt -subj "/C=JP/ST=/L=/O=/OU=/CN=192.168.122.137"
/opt/httpd/bin/apachectl start
iptables -F
#Start httpd on booting
chmod +x /etc/rc.d/rc.local
echo '/opt/httpd/bin/apachectl start' >> /etc/rc.local
#Remove downloaded files
cd ~
rm -rf ~/openssl-1.0.1*
rm -rf ~/httpd*
rm -rf ~/pcre*