服務(wù)器解決低危漏洞方法

1.允許Traceroute探測(cè)
描述：本插件使用Traceroute探測(cè)來(lái)獲取掃描器與遠(yuǎn)程主機(jī)之間的路由信息。攻擊者也可以利用這些信息來(lái)了解目標(biāo)網(wǎng)絡(luò)的網(wǎng)絡(luò)拓?fù)洹?br />
處理：

iptables -I INPUT -p icmp --icmp-type 11 -m comment --comment "deny traceroute" -j DROP

還一種辦法：

   在防火墻中禁用Time Exceeded類型的ICMP包

Iptables防火墻

sudo iptables -A INPUT -p ICMP --icmp-type time-exceeded -j DROP
sudo iptables -A OUTPUT -p ICMP --icmp-type time-exceeded -j DROP
sudo service iptables save
sudo service iptables restart

2.ICMP timestamp請(qǐng)求響應(yīng)漏洞
描述：遠(yuǎn)程主機(jī)會(huì)回復(fù)ICMP_TIMESTAMP查詢并返回它們系統(tǒng)的當(dāng)前時(shí)間。 這可能允許攻擊者攻擊一些基于時(shí)間認(rèn)證的協(xié)議。

處理：

iptables -I INPUT -p ICMP --icmp-type timestamp-request -m comment --comment "deny ICMP timestamp" -j DROP

iptables -I INPUT -p ICMP --icmp-type timestamp-reply -m comment --comment "deny ICMP timestamp" -j DROP



3.探測(cè)到SSH服務(wù)器支持的算法
描述：本插件用來(lái)獲取SSH服務(wù)器支持的算法列表

處理：無(wú)法處理。ssh協(xié)議協(xié)商過(guò)程就是服務(wù)端要返回其支持的算法列表。



4.SSH版本信息可被獲取
描述：SSH服務(wù)允許遠(yuǎn)程攻擊者獲得ssh的具體信息，如版本號(hào)等等。這可能為攻擊者發(fā)動(dòng)進(jìn)一步攻擊提供幫助。

處理：無(wú)法處理。sshd_config中的Banner項(xiàng)只是ssh主機(jī)前輸出的信息，源碼處理機(jī)制就是telnet其端口就會(huì)返回版本信息。

5、SSH限制IP登錄

vim /etc/hosts.allow
加入你允許訪問(wèn)你主機(jī)的IP
sshd:192.168.10.88:allow
據(jù)說(shuō)支持 192.168.1.0/24 這種掩碼的寫(xiě)法，但是我測(cè)試了不行，寫(xiě)成 192.168.1.* 是可以的
vim /etc/hosts.deny
sshd:ALL:deny
---------------------

firewall-cmd --zone=public  --remove-port=22/tcp --permanent

firewall-cmd --reload