Linux低版本系统OpenSSH三大漏洞分析及修复方法详解

最近在给一批Linux系统执行安全加固时，顺手跑了遍漏洞扫描。结果不看不知道，一看真有点坐不住——好几台服务器上的OpenSSH都挂着三个高危或中危漏洞。这些漏洞一旦被利用，后果可就不是“重启一下”能解决的了。今天就把这几个漏洞的细节和修复过程掰开揉碎聊一聊，希望能给同样在运维一线的朋友们提个醒。

一、OpenSSH漏洞深度分析

本次扫描主要暴露了OpenSSH的三个安全短板，下面逐一拆解：

1. OpenSSH GSSAPI 处理远程代码执行漏洞

漏洞分类：守护进程类
危险级别：高
影响平台：OpenSSH < 4.4

这个漏洞的破坏力相当惊人。在OpenSSH 4.3之前的portable版本中，攻击者可以利用race condition（竞争条件）操纵信号处理器，如果系统启用了GSSAPI认证，攻击者甚至能在目标机器上执行任意代码——相当于直接把服务器的钥匙交到了别人手里。

修补建议： 别犹豫，直接升级到OpenSSH 4.4或更高版本。官方下载地址位于OpenBSD的FTP服务器上，具体参考发布公告。

2. OpenSSH GSSAPI认证终止信息泄露漏洞

漏洞编号：000a03fa
漏洞分类：守护进程类
危险级别：中

这个漏洞虽然危险等级是“中”，但也不能小瞧。OpenSSH portable版本在GSSAPI认证终止时，会返回不同的错误信息，攻击者可以据此猜解系统上存在的用户名。说白了，这就是给暴力破解提供了“用户名字典”的线索，属于信息收集阶段的利器。

修补建议： 同样，升级到OpenSSH 4.4或最新版本即可堵住这个口子。

3. OpenSSH X连接会话劫持漏洞

漏洞分类：守护进程类
危险级别：中
影响平台：OpenSSH < 4.3p2

这个漏洞的利用场景比较特殊，但一旦触发就很要命。当用户通过启用X11转发的SSH登录时，sshd在处理IPv4和IPv6端口绑定时存在逻辑缺陷——如果IPv4端口绑定失败但IPv6成功，X11的转发会错误地连接到未受保护的IPv4端口。恶意用户可以在本机的空闲IPv4端口（比如tcp 6010）上监听，然后捕获所有通过X11传输的数据。这意味着什么？你的键盘输入、剪贴板内容、甚至打开的窗口画面都可能被第三方截获。如果攻击者技术再高一点，还能以你的权限执行命令。

修补建议： OpenSSH官方已经提供了针对3.9p1版本的补丁（openssh-3.9p1-skip-used.patch），建议所有受影响版本尽快更新。

二、OpenSSH漏洞修复实战

分析完漏洞，下一步就是动手修复。最直接的办法就是升级OpenSSH，把漏洞堵死在源头。下面是我这次升级的完整步骤，每一步都踩过坑，所以写得比较细。

1. 下载源码包

考虑到稳定性，没有直接追最新版6.0，而是选择了经过验证的5.8p2版本。

wget http://mirror.internode.on.net/pub/OpenBSD/OpenSSH/portable/openssh-5.8p2.tar.gz

2. 解压

tar xvf openssh-5.8p2.tar.gz

3. 进入源码目录

cd openssh-5.8p2

4. 配置编译参数

这里有个关键点：我的编译路径是--prefix=/usr --sysconfdir=/etc/ssh，这样安装后会直接覆盖原路径下的文件，省去后续手动复制sshd服务脚本到/etc/init.d/的麻烦。当然，你可以根据实际环境调整路径。

./configure --prefix=/usr --sysconfdir=/etc/ssh

5. 编译

make

6. 备份旧配置文件

因为安装路径与原路径重合，直接make install会报错。所以先把旧配置文件挪个地方：

mv /etc/ssh/* /etc/sshbak/

7. 安装

make install

8. 重启sshd服务

/etc/init.d/sshd restart

这一步要格外小心。如果前面编译报错却强行安装，sshd服务可能就起不来了。一旦远程连接断开，你又没留其他通道，那后果……你懂的。

9. 添加开机自启

chkconfig --add sshd
chkconfig sshd on

10. 验证升级结果

如果sshd服务正常启动，恭喜你，已经成功了一大半。用ssh -V确认一下版本：

[health@jumpserver-12 ~]$ ssh -V
OpenSSH_5.8p2, OpenSSL 1.0.0-fips 29 Mar 2010

版本号已经变成5.8p2，漏洞修复完成。

三、常见故障排查

升级过程中最容易卡在./configure这一步。如果报错，多半是因为缺少依赖——最常见的是没有安装gcc编译器或openssl-devel开发包。

解决思路很简单：先确认系统是否已安装gcc（可以尝试gcc --version），如果没有，下载gcc-4.5.1.tar.bz2编译安装，或者直接用包管理器装上。同时别忘了安装openssl-devel，很多编译错误都和它有关。