Disable Cipher Block Chaining (CBC) Mode Ciphers and Weak MAC Algorithms in SSH

話說今天使用OpenVAS做弱點掃描的時候，發現弱點

SSH Weak Encryption Algorithms Supported

Vulnerability Detection Result

The following weak client-to-server encryption algorithms are supported by the remote serv↵
ice:

aes128-cbc
arcfour256
cast128-cbc
aes192-cbc
3des-cbc
arcfour128
rijndael-cbc@lysator.liu.se
aes256-cbc
arcfour
blowfish-cbc

The following weak server-to-client encryption algorithms are supported by the remote serv↵
ice:

aes128-cbc
arcfour256
cast128-cbc
aes192-cbc
3des-cbc
arcfour128
rijndael-cbc@lysator.liu.se
aes256-cbc
arcfour
blowfish-cbc

稍微爬了一下，發現解決方法也很簡單，打開SSH加入以下內容

vi /etc/ssh/sshd_config

Ciphers aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha1

重新啟動服務

systemctl restart sshd

打完收工

Reference

How to harden SSH on CentOS 6.5

FAQ: How do I disable Cipher Block Chaining (CBC) Mode Ciphers and Weak MAC Algorithms in SSH in IBM PureData System for Operational Analytics

OpenVAS @CentOS 6

時格許久再次安裝OpenVAS，依稀記得整個步驟簡單到不行。

為了再次確認是否在新版本有所差異，還是回官方確認一下。

Step 1: Configure Atomicorp Repository
(as user root, only once)

wget -q -O - http://www.atomicorp.com/installers/atomic |sh

Step 2: Quick-Install OpenVAS
(as user root, only once)

yum upgrade
yum install openvas
openvas-setup

Step 3: Quick-Start OpenVAS

( nothing to do, all is up and running directly after installation )

Step 4: Log into OpenVAS with user created in the step 2
Open https://localhost:9392/.

看到這段之後，放心的超簡單的安裝！

但是跑
# openvas-setup

卻停在

Error: rsync failed. Your NVT collection might be broken now.

後來爬了一下討論，才發現原來他需要使用873 port 更新!

一切又回到當初的單純美好簡單！ 

對了，當初裝好時有碰到掃描直接完成。 

根據log 紀錄來看是出現掃描主機失敗，後來把selinux關閉後就正常了。XD

參考來源:

[Openvas-discuss] can not set up openvas + Centos 6.5

好用的弱點掃描軟體OpenVAS

2013/01/22 目前發現官方提供的LICEVD版本只要更新nvt之後，openvas便會無法正常使用！
於是便著手全新安裝系統來安裝openvas，詳情請參考：OpenVAS@CentOS

本篇僅是探討如何使用官方提供的iso檔，單純紀錄一下使用的情形以及遇到的問題。
1.下載iso檔
您可以到此http://www.openvas.org/vm.html下載 ，目前vm的iso檔仍然是0.0.27。

2.開機執行
這邊會要求您先設定語言、鍵盤配置以及時區。

3.設定網路（如果您的網路環境是dhcp，那可以跳過此步驟）

#vi /etc/sysconfig/network/ifcfg-eth0 
BOOTPROTO=dhcp
修改為
BOOTPROTO=static


IPADDR=192.168.1.2 #修改為您想指定這台機器的IP位置
NETMASK=255.255.255.0 #請根據您的網路環境設定

設定default gateway
#vi /etc/sysconfig/network/routes

default  192.168.1.254  0.0.0.0   eth0  #請根據您的網路環境設定

設定dns(請根據喜好設定XD8.8.8.8 為GOOGLE DNS）
#vi /etc/reslove.conf
nameserver 8.8.8.8

重新啟動網路服務
#rcnetwork restart

4.打開瀏覽器，輸入帳號密碼登入
https://192.168.1.2:9392

5.更新NVT

#openvas-nvt-sync
這樣更新會出現失敗，改使用wget 就可以了
#openvas-nvt-sync --wget

6.設定掃描的機器
Configuration → Targets
其中比較要注意的是 Hosts

1）如果是單台
192.168.1.3

2）如果是多台
192.168.1.3,192.168.1.4,192.168.1.5

3)也可以設定整個網段
192.168.1.0/255.255.255.0

※當我依照範例，設定成 192.168.1.1-128 時，會照成掃描直接完成，只有本機會有掃描結果，使用192.168.1.0/24 也會有類似的情形。

7.建立掃描
NEW Task 中依據剛剛建立好的主機開始掃描。

8.看報告
經過慢長的掃描等待後，就等著看結果～

利用pam_tally2限制登入失敗幾次就鎖定多久時間

OS:CentOS 5.7

話說最近再看伺服器的紀錄，發現mail 以及ftp服務經常會有人進行攻擊。

基於安全考量，希望能加入嘗試失敗5次便鎖住帳號10分鐘。

其實作法蠻簡單的（因為有goole到一篇好文章）

首先先到 /etc/pam.d 這個目錄底下！

接著針對mail （我這邊是使用sensmail）、ftp（我這邊是使用vsftp）來做限制。

找到 smtp.sendmail、dovecot以及vsftp

在最上面加入

auth required pam_tally2.so deny=5 unlock_time=600

deny：表示登入失敗的次數，unlock_time：表示鎖住的時間
（上面所表示為：登入失敗5次就鎖住10分鐘）

您可以利用pam_tally2這個指令來查看，目前登入失敗的紀錄以及次數。

如果想要馬上解除鎖定

pam_tally2 --reset -u 帳號

參考來源：
 ssh搭配pam_tally2讓使用者登入，幾次失敗就鎖定時間，過了才可再次登入

關於udev漏洞後續追蹤

前篇不是提到openSUSE更新後，此漏洞還是存在。

後來今天爬文一下才發現有人提及，更新後要用root權限執行以下動作

rm -rf /tmp/libno_ex*
rm -rf /tmp/suid
rm -rf /tmp/udev

測試後果然正常。

PS.果然是我的問題，哈哈！

關於udev漏洞

剛剛無意中再網路上發現這則消息。
Linux爆本地提權漏洞 請立即更新udev程序（會不會太慢發現了點！呵呵！）

我照著網路上的ＳＡＭＰＬＥ測試了一下
（因為有對岸的鄉民說ＯＰＥＮＳＵＳＥ還沒有修復此問題！）

以下為網路上找到的攻擊範例（不...測試範例）

milw0rm.com
http://milw0rm.com/exploits/8572

攻擊效果展示：
libuuid@debian:~$ sh a 890
sh-3.1# id
uid=0(root) gid=0(root) groups=105(libuuid)
sh-3.1# cat /etc/debian_version
lenny/sid
sh-3.1# dpkg -l | grep udev
ii udev 0.114-2 /dev/ and hotplug management daemon

ＰＥＮＮＹ真的給他sh a 890　測試（請不要笑我，囧）
後來才發現不是這樣做，那個只是範例.....我真是太笨了！ＣＣ
＝＝註解，怕有人跟我一樣笨笨的＝＝
其中
a是milw0rm的sh
udev pid:1980，a參數就是1979（ ps ax|grep udev）
ＥＸ：sh a 1979
這樣應該很詳細了吧！ＣＣ
＝＝註解，怕有人跟我一樣笨笨的＝＝

經由測試過，真的會取得ＲＯＯＴ權限！
立刻
zypper update udev
再測試，還是會.......囧大了！

難道是我的問題，持續追蹤後續的發展吧！