01-OpenSSH升级

安全检查、漏洞扫描中会发现自软件服务器系统Ubuntu18.04 Server LTS系统存在OpenSSH 安全漏洞，一般将其定义为中危风险等级。可以使用如下方式进行升级处理。

一、前置条件

服务器已经安装telnet server服务，可以通过telnet登录服务器并获取root用户权限。

二、环境准备

服务器系统具有GCC以及依赖环境，具有make编译环境。

三、软件包准备

zlib
openssl
openssh

四、升级操作

1、安装telnet server服务

1.1、服务器安装telnet server软件

安装telnet需要准备相关软件包

将提供的软件压缩包解压后将openssh/telnet_server目录下的所有文件上传到服务器。离线安装telnet server服务

mkdir -p /root/openssh/telnet_server
# 上传以上软件包到/root/openssh/telnet_server目录
cd /root/openssh/telnet_server
dpkg -i *.deb

1.2、验证telnet服务 ⭐⭐⭐⭐⭐

使用其他电脑测试telnet服务是否可用，确保可以正常登录服务器，由于后期需要卸载ssh服务，导致无法登陆服务器，因此务确保可以telnet登录服务器。

telnet  server_ip

Ubuntu 18.04.5 LTS
whr login: om
Password:
Last login: Wed Jan 11 07:48:11 UTC 2023 from 172.16.10.152 on pts/0
Welcome to Ubuntu 18.04.5 LTS (GNU/Linux 4.15.0-112-generic x86_64)
......
om@whr:~$
om@whr:~$

2、安装gcc环境

将gcc目录下的所有软件包上传到服务器，并进行安装

mkdir  -p /root/openssh/gcc
# 将gcc目录下所有软件包上传到服务器/root/openssh/gcc目录下
cd /root/openssh/gcc
dpkg -i *.deb

3、安装make编译环境

将make目录下所有软件包上传到服务器并安装软件包

mkdir -p /root/openssh/make
# 将make目录下所所有软件包上传到/root/openssh/make
cd /root/openssh/make
dpkg -i *.deb

4、安装libpam0g依赖包

将libpam0g目录下软件包上传到服务器/root/openssh/libpam0g目录下

mkdir -p /root/openssh/libpam0g
# 目录下软件包上传到服务器/root/openssh/libpam0g目录下
cd /root/openssh/libpam0g
dpkg -i *.deb

4、编译安装zlib

将openssh目录下所有压缩包上传到服务器。

mkdir -p /root/openssh/openssh
# 将openssh目录下所所有软件包上传到/root/openssh/openssh

4.1、第一次编译zlib

# 解压zlib压缩包
tar -zxvf zlib-1.2.13.tar.gz
cd zlib-1.2.13
./configure
make test
make install

4.2、第二次编译安装

本次编译主要是编译暗账共享库，解决编译OpenSSL是找不到共享库的问题

make clean
./configure --shared
make test
make install
cp zutil.h /usr/local/include
cp zutil.c /usr/local/include

5、编译安装OpenSSL

解压OpenSSL源码包，编译安装

tar -zxvf openssl-1.1.1q.tar.gz
cd /tmp/openssl-1.1.1q/
# 配置编译参数，指定shared zlib
./config shared zlib
# 指定8个CPU进行编译，可以根据自己服务器的情况指定，也可以直接使用make编译
make -j 8
make install
# 备份原有的的OpenSSL文件
mv /usr/bin/openssl /usr/bin/openssl.bak
mv /usr/include/openssl /usr/include/openssl.bak
# 生成新的文件链接
ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
ln -s /usr/local/ssl/include/openssl /usr/include/openssl
echo “/usr/local/ssl/lib” >> /etc/ld.so.conf
# 配置新的OpenSSL生效。
ldconfig

可以使用下面的命令检查OpenSSL是否升级成功

openssl version -a

6、编译安装OpenSSH

注意这里将要安装新版本的OpenSSH软件，需要将原有版本卸载，卸载OpenSSH会导致无法连接服务，所以务必保证可以通过其他方式登录服务器，例如通过telnet方式登录服务器；如果使用已经通过SSH连接的会话，务必保证在完成升级前不会断开SSH连接。

# 备份原有SSH服务的配置文件
mv /etc/init.d/ssh /etc/init.d/ssh.old
mv /etc/ssh /etc/ssh.old
# 删除已经安装的SSH软件包
apt-get remove openssh-server openssh-client -y
# 解压源码包
tar -zxvf openssh-9.0p1.tar.gz
cd openssh-9.0p1
# 配置编译参数
./configure --prefix=/usr \
--sysconfdir=/etc/ssh \
--with-md5-passwords \
--with-pam --with-zlib \
--with-ssl-dir=/usr/local \
--with-privsep-path=/var/lib/sshd 
# 指定参与编译的CPU数量，可以直接使用make补丁定参数
make -j 8
# 安装已经编译成的openssh软件
make install 

# 还原原有备份配置文件
cd /etc/ssh
mv sshd_config sshd_config.default
cp ../ssh.old/sshd_config ./
mv /etc/init.d/ssh.old /etc/init.d/ssh
systemctl unmask ssh
# 重新启动SSH服务
systemctl restart ssh

验证OpenSSH是否升级成功

ssh -V

开启SSH连接工具创建新的连接登录服务器验证服务是否正常。

如果现场环境允许可以重新启动服务器，检查是否可以通过SSH登录服务器。

五、升级后收尾

经过验证可以正常登录后，建议关闭之前安装的telnet服务

# 取消telnet服务的开机启动
systemctl disable inetd
# 停止服务器的telnet服务
systemctl stop inetd

Ubuntu18.04 LTS OpenSSH服务漏洞升级