CentOS7.6系统OpenSSH升级到openssh-9.3p2（漏洞修复）_openssh 9.3p2之前版本存在安全漏洞-程序员宅基地
前言
CentOS 7.6系统自带的ssh版本太老了，存在漏洞例如：
OpenSSH 代码问题漏洞CVE-2023-38408： OpenSSH 9.3p2之前版本存在安全漏洞，该漏洞源于ssh-agent的PKCS11功能存在安全问题。攻击者可利用该漏洞执行远程代码。
OpenSSH client 安全漏洞CVE-2016-1908：OpenSSH 7.2之前的版本中的client存在安全漏洞，该漏洞源于程序没有正确的处理生成身份验证cookie失败的情况。攻击者可利用该漏洞获取信任的X11转发权限。
OpenSSH J-PAKE授权问题漏洞CVE-2010-4478： 当J-PAKE启用时，OpenSSH 5.6及之前版本不能正确验证J-PAKE协议中的公共参数。远程攻击者可以通过发送每一轮协议中的特制值绕过共享秘密信息的需求，并成功获得认证。
》》》
所以避免这些漏洞被利用，需要进行升级修复。本文教程适用升级到OpenSSH 9.3/9.3p1/9.3p2、OpenSSH 9.4/9.4p1、OpenSSH 9.5/9.5p1、OpenSSH 9.6/9.6p1。
升级OpenSSH的过程会需要依赖ZLIB、Perl、OpenSSL，升级OpenSSL可能会报错，可能还需要依赖PAM。所以先要离线下载这些依赖对应的包：zlib-1.2.13.tar.gz，perl-5.38.0.tar.gz，Linux-PAM-1.3.1.tar.xz，openssl-1.1.1w.tar.gz，openssh-9.3p2.tar.gz。（这也是安装的顺序）
注意：为避免升级openssh过程中断联，请安装telnet-server、telnet、xinetd。
1、安装/升级 zlib
tar -zxvf zlib-1.2.13.tar.gz
cd zlib-1.2.13
./configure --prefix=/usr/zlib
编译安装：
make && make install[root@localhost zlib-1.2.13]# ./configure --prefix=/usr/zlib
Checking for gcc...
Checking for shared library support...
Building shared library libz.so.1.2.13 with gcc.
Checking for size_t... Yes.
Checking for off64_t... Yes.
Checking for fseeko... Yes.
Checking for strerror... Yes.
Checking for unistd.h... Yes.
Checking for stdarg.h... Yes.
Checking whether to use vs[n]printf() or s[n]printf()... using vs[n]printf().
Checking for vsnprintf() in stdio.h... Yes.
Checking for return value of vsnprintf()... Yes.
Checking for attribute(visibility) support... Yes.
[root@localhost zlib-1.2.13]# make && make install
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -c -o example.o test/example.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o adler32.o adler32.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o crc32.o crc32.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o deflate.o deflate.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o infback.o infback.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o inffast.o inffast.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o inflate.o inflate.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o inftrees.o inftrees.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o trees.o trees.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o zutil.o zutil.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o compress.o compress.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o uncompr.o uncompr.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o gzclose.o gzclose.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o gzlib.o gzlib.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o gzread.o gzread.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -c -o gzwrite.o gzwrite.c
ar rc libz.a adler32.o crc32.o deflate.o infback.o inffast.o inflate.o inftrees.o trees.o zutil.o compress.o uncompr.o gzclose.o gzlib.o gzread.o gzwrite.o
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o example example.o -L. libz.a
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -c -o minigzip.o test/minigzip.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o minigzip minigzip.o -L. libz.a
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/adler32.o adler32.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/crc32.o crc32.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/deflate.o deflate.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/infback.o infback.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/inffast.o inffast.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/inflate.o inflate.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/inftrees.o inftrees.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/trees.o trees.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/zutil.o zutil.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/compress.o compress.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/uncompr.o uncompr.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzclose.o gzclose.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzlib.o gzlib.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzread.o gzread.c
gcc -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzwrite.o gzwrite.c
gcc -shared -Wl,-soname,libz.so.1,--version-script,zlib.map -O3 -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o libz.so.1.2.13 adler32.lo crc32.lo deflate.lo infback.lo inffast.lo inflate.lo inftrees.lo trees.lo zutil.lo compress.lo uncompr.lo gzclose.lo gzlib.lo gzread.lo gzwrite.lo -lc
rm -f libz.so libz.so.1
ln -s libz.so.1.2.13 libz.so
ln -s libz.so.1.2.13 libz.so.1
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o examplesh example.o -L. libz.so.1.2.13
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o minigzipsh minigzip.o -L. libz.so.1.2.13
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -D_FILE_OFFSET_BITS=64 -c -o example64.o test/example.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o example64 example64.o -L. libz.a
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -D_FILE_OFFSET_BITS=64 -c -o minigzip64.o test/minigzip.c
gcc -O3 -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o minigzip64 minigzip64.o -L. libz.a
rm -f /usr/zlib/lib/libz.a
cp libz.a /usr/zlib/lib
chmod 644 /usr/zlib/lib/libz.a
cp libz.so.1.2.13 /usr/zlib/lib
chmod 755 /usr/zlib/lib/libz.so.1.2.13
rm -f /usr/zlib/share/man/man3/zlib.3
cp zlib.3 /usr/zlib/share/man/man3
chmod 644 /usr/zlib/share/man/man3/zlib.3
rm -f /usr/zlib/lib/pkgconfig/zlib.pc
cp zlib.pc /usr/zlib/lib/pkgconfig
chmod 644 /usr/zlib/lib/pkgconfig/zlib.pc
rm -f /usr/zlib/include/zlib.h /usr/zlib/include/zconf.h
cp zlib.h zconf.h /usr/zlib/include
chmod 644 /usr/zlib/include/zlib.h /usr/zlib/include/zconf.h
[root@localhost zlib-1.2.13]# 用find / -name libz.*查找zlib程序所在的相关位置
可以看到我的服务器下安装了两个版本的。
（一）替换第一个目录下的程序
卸载原zlib包，并替换新的。
cd /lib64
rm -rf /usr/lib64/libz.so.1.2.7
rm -rf /usr/lib64/libz.so.1
rm -rf /usr/lib64/libz.so复制新的程序到/lib64/目录下
cp /usr/zlib/lib/libz.so.1.2.13 /usr/lib64/
cp /usr/zlib/lib/libz.so.1 /usr/lib64/
cp /usr/zlib/lib/libz.so /usr/lib64/软链接重定向为新文件
ln -snf /usr/lib64/libz.so.1.2.13 /usr/lib64/libz.so.1
ln -snf /usr/lib64/libz.so.1.2.13 /usr/lib64/libz.so
（二）替换第二个目录下的程序。
cd /usr/local/lib/
rm -rf libz.*
cp /usr/zlib/lib/libz.* /usr/local/lib/
ln -snf /usr/local/lib/libz.so.1.2.13 /usr/local/lib/libz.so.1
ln -snf /usr/local/lib/libz.so.1.2.13 /usr/local/lib/libz.so
刷新系统库文件
ldconfig
2、升级 Perl
perl -v //查看perl版本 过低就不支持高版本的openssh更新
tar -zxf perl-5.38.0.tar.gz
cd perl-5.38.0
指定编译安装路径：
./Configure -de
编译安装：
make && make install
##但这只是安装完成了，系统调用还是旧版，要把旧版本替换掉。
备份旧程序
mv /usr/bin/perl /usr/bin/perl.bak建立新的软连接，使安装的perl生效
ln -s /usr/local/bin/perl /usr/bin/perl检测perl -v
3、安装pam-devel
tar -xf Linux-PAM-1.3.1.tar.xz
cd Linux-PAM-1.3.1指定编译安装路径：
./configure[root@localhost ~]# tar -xf Linux-PAM-1.3.1.tar.xz
[root@localhost ~]# cd Linux-PAM-1.3.1/
[root@localhost Linux-PAM-1.3.1]# ./configure
checking for a BSD-compatible install... /usr/bin/install -c
checking whether build environment is sane... yes
checking for a thread-safe mkdir -p... /usr/bin/mkdir -p
checking for gawk... gawk
checking whether make sets $(MAKE)... yes
checking whether make supports nested variables... yes
checking build system type... x86_64-unknown-linux-gnu
checking host system type... x86_64-unknown-linux-gnu
checking for style of include used by make... GNU
checking for gcc... gcc
checking whether the C compiler works... yes
...
...
config.status: creating doc/Makefile
config.status: creating doc/specs/Makefile
config.status: creating doc/man/Makefile
config.status: creating doc/sag/Makefile
config.status: creating doc/adg/Makefile
config.status: creating doc/mwg/Makefile
config.status: creating examples/Makefile
config.status: creating tests/Makefile
config.status: creating xtests/Makefile
config.status: creating config.h
config.status: executing depfiles commands
config.status: executing libtool commands
config.status: executing po-directories commands
config.status: creating po/POTFILES
config.status: creating po/Makefile
[root@localhost Linux-PAM-1.3.1]# 编译安装：
make && make install
4、升级 openssl
查看openssl的版本 最低不能低于1.1.1
ssh -V
openssl version -a
备份旧程序
cp /usr/bin/openssl /usr/bin/openssl.old
cp -r /usr/include /usr/includeold编译安装
tar -zxvf openssl-1.1.1w.tar.gz
cd openssl-1.1.1w
./config --prefix=/usr --shared
使用命令进行编译：
make
安装：
make install
查看版本：
openssl version -a
如果上述方法升级openssl不成功，试试下面两个方法。
（1）--编译 openssl
tar -xvf openssl-1.1.1w.tar.gz
cd openssl-1.1.1w
./config shared --openssldir=/usr/local/openssl --prefix=/usr/local/openssl
编译安装：
make && make install配置
echo "/usr/local/lib64/" >> /etc/ld.so.conf
ldconfig
mv /usr/bin/openssl /usr/bin/openssl.old
ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl
ln -s /usr/local/openssl/include/openssl /usr/include/openssl
echo "/usr/local/openssl/lib" >> /etc/ld.so.conf
更新库：
ldconfig -v（2）编译源码安装。
tar -xzvf openssl-1.1.1w.tar.gz
cd openssl-1.1.1w
./config #不带任何参数。
编译安装：
make && make install升级后如果执行 openssl version 命令出现:
openssl: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory错误。执行以下命令即可。
ln -s /usr/local/lib64/libssl.so.1.1 /usr/lib64/libssl.so.1.1
ln -s /usr/local/lib64/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1升级后如果执行 openssl version 命令出现:
openssl: /usr/lib/mic_lib/libssl.so.1.1: version `OPENSSL_1_1_1' not found (required by openssl)
openssl: /usr/lib/mic_lib/libcrypto.so.1.1: version `OPENSSL_1_1_1' not found (required by openssl)。
使用命令删除即可。
rm -rf /usr/lib/mic_lib/libssl.so.1.1
rm -rf /usr/lib/mic_lib/libcrypto.so.1.1
5、进行openssh离线更新
先进行相关文件备份
cp /etc/pam.d/sshd /etc/pam.d/sshd20240117
cp -r /etc/ssh /etc/ssh20240117开始进行解压缩然后进行相关操作
tar -xzvf openssh-9.3p2.tar.gz
cd openssh-9.3p2停止SSH程序
systemctl stop sshd.service删除旧的ssh程序
rm -rf /etc/ssh指定编译安装路径与参数：
./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib --with-md5-passwords --with-ssl-dir=/usr/ssl
编译安装：
make && make install
复制启动程序脚本到/etc/init.d/下
cd contrib/redhat
cp sshd.init /etc/init.d/sshd
设置开机自启
systemctl enable sshd
chkconfig sshd --list把配置文件和程序恢复
cp /etc/ssh20240117/sshd_config /etc/ssh/sshd_config
cp /etc/pam.d/sshd20240117 /etc/pam.d/sshd
检查ssh配置
sshd -t #提示79、80行报错
编辑vi /etc/ssh/sshd_config配置文件，将79、90行注释。
然后使用配置文件启动程序
/usr/sbin/sshd -t -f /etc/ssh/sshd_config
systemctl start sshd.service7、openssh升级后问题处理
（一）Linux SSH Access denied（拒绝访问）
编辑配置文件：
vim /etc/ssh/sshd_config修改 PermitRootLogin 为 yes
（二）Openssh程序不断重启。
配置文件什么的没有报错，但状态不为Active: active (running)，而是activating (start)。
修改/usr/lib/systemd/system/sshd.service中，相应的可执行文件目录。
将Type=nofify改为：Type=forking（或者注释）
并且去掉启动sshd的 -D参数
systemctl daemon-reload
systemctl start sshd.service再查看一下状态
systemctl status sshd.service
最后查看一下OpenSSH版本：
智能推荐
ffmpeg-nvenc_nvencoder 流程-程序员宅基地
文章浏览阅读4.3k次，点赞2次，收藏4次。nvenc.c是一个用nvidia来执行的代码，下面简单分析nvenc编码的基本流程， 主要关注与nvenc底层相关的接口调用，也就是下图所示AVCodec_nvencoder 流程
Allegro PCB -如何做自定义焊盘_allegro画圆焊盘-程序员宅基地
文章浏览阅读1.2k次，点赞2次，收藏4次。1、如何创建自定义焊盘，比如这种形状的焊盘。（1）、打开PCB Editor –>Allegro PCB Design ->New,在类型中选择Shape symbol，并输入名字，比如test，点击OK。（2）、点击Setup -> Parameter Editor，进行页面尺寸及栅格点设置。（3）、点击..._allegro画圆焊盘
虚拟化架构种类、特点及优势_分别简述寄居虚拟化、裸金属虚拟化、操作系统虚拟化、函数库虚拟化的特点。-程序员宅基地
文章浏览阅读1.9k次。（ECS Bare Metal Instance）是一种可弹性伸缩的高性能计算服务，计算性能与传统物理机无差别，具有安全物理隔离的特点，分钟级的交付周期将提供给您实时的业务响应能力。操作系统虚拟化架构把单个的操作系统划分为多个容器，使用容器管理器来进行管理。裸金属虚拟化架构指直接在硬件上面安装虚拟化软件，再在其上安装操作系统和应用，依赖虚拟层内核和服务器控制台进行管理。寄居虚拟化架构指在宿主操作系统之上安装和运行虚拟化程序，依赖于宿主操作系统对设备的支持和物理资源的管理。_分别简述寄居虚拟化、裸金属虚拟化、操作系统虚拟化、函数库虚拟化的特点。
2023贵州省职业院校技能大赛大数据技术与应用专业样题_贵州省大数据技能竞赛题目-程序员宅基地
文章浏览阅读727次。2023贵州省职业院校技能大赛大数据技术与应用专业样题_贵州省大数据技能竞赛题目
C#红黑树实现代码-程序员宅基地
文章浏览阅读1.3k次。在学习红黑树之前，最好已经学习过AVL树了，因为二者的实现方式是有很大程度类似的（左旋和右旋），但是只不过二叉平衡树是在每次加入节点时，需要计算该节点的左右子树高度差，如果高度差大于一则旋转调节使其平衡；而红黑树是在每次加入节点时计算红黑节点之间的关系，如果关系错误，则通过旋转和改变颜色来调节树的结构。总之，AVL树也好，RB树也好，都只不过是一种优化二叉查找树的高级方式而已。下面是C#实..._c#红黑树
python：将二维array of float32类型的数据转为float类型_can only convert an array of size 1 to a python sc-程序员宅基地
文章浏览阅读2.1k次。通过python将二维array of float32类型的数据转为float类型_can only convert an array of size 1 to a python scalar
随便推点
哈佛结构和冯·诺依曼结构的区别_冯·诺曼架构缺陷-程序员宅基地
文章浏览阅读7.6k次，点赞3次，收藏6次。哈佛结构和冯·诺依曼结构的区别_冯·诺曼架构缺陷
python移动文件到另一个文件夹若有同名文件更改文件名_Python 创建、复制、移动、删除和重命名文件和文件夹...-程序员宅基地
文章浏览阅读1.4k次。我们本文学习使用Python对电脑文件和文件夹进行操作，包括创建、复制、移动、删除和重命名等操作。os.mkdir() 创建文件夹# 引入 os 模块，下面的代码都默认已引入os.path.exists('文件夹名称') 可判断文件夹是否存在os.makedirs() 创建多层文件夹创建多层文件夹的时候，当最里层文件夹存在的时候报错复制、移动、重命名需要使用shutil模块复制和移动文件(并重命名..._shutil.copy2 如果原文件 与目标文件 是同名 如何处理
《数据同步-NIFI系列》GetFTP功能介绍，FTP服务器数据采集_nifi ftp-程序员宅基地
文章浏览阅读1.5k次。1.GetFTP功能介绍2.Nifi同步并解析FTP服务器Excel文件，并存储到数据库_nifi ftp
springBoot整合ElasticSearch_spring-boot-dependencies elasticsearch-程序员宅基地
文章浏览阅读173次。目录SpringBoot整合ElasticSearch1、导入依赖2、编写测试类1）测试保存数据2）测试获取数据其他1. kibana控制台命令SpringBoot整合ElasticSearch1、导入依赖这里的版本要和所按照的ELK版本匹配。<dependency> <groupId>org.elasticsearch.client</groupId> <artifactId>elasticsearch-rest-high-level_spring-boot-dependencies elasticsearch
神奇的贝叶斯定理（一）_贝叶斯 红球-程序员宅基地
文章浏览阅读918次。贝叶斯定理看起来是如此的简单，但却有着神奇的功效，这非常符合国人治病求医的思维模式---偏方治百病，但贝叶斯不是偏方，它虽然小，却很美 P(B|A)=P(A|B)P(B)/P(A) 上面就是贝叶斯定理，理解起来非常容易 P(B|A) ： 已知A发生，求B发生的概率 P(A|B) ： 已知B发生时，A发生的概率 P(B) _贝叶斯 红球
ChatGLM + LoRA 进行finetune_chatglm rola killed-程序员宅基地
文章浏览阅读1.6k次。ChatGLM + LoRA 进行finetune_chatglm rola killed