防火墙F1000漏洞修复请列一下相关修复命令
- 0关注
- 0收藏，50浏览
问题描述：
检测到目标服务支持SSL弱加密算法
检测到目标服务支持SSL中等强度加密算法(CVE-2016-2183)【原理扫描】
目标使用过期的TLS1.1 版协议【原理扫描】
目标使用过期的TLS1.0 版协议【原理扫描】
目标主机支持RSA密钥交换【原理扫描】
SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808)【原理扫描】
SSL/TLS RC4 信息泄露漏洞(CVE-2013-2566)【原理扫描】
组网及组网描述：
检测到目标服务支持SSL弱加密算法
检测到目标服务支持SSL中等强度加密算法(CVE-2016-2183)【原理扫描】
目标使用过期的TLS1.1 版协议【原理扫描】
目标使用过期的TLS1.0 版协议【原理扫描】
目标主机支持RSA密钥交换【原理扫描】
SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808)【原理扫描】
SSL/TLS RC4 信息泄露漏洞(CVE-2013-2566)【原理扫描】
最佳答案
针对H3C SecPath F1000系列防火墙的SSL/TLS漏洞，最根本的修复方案是升级固件。根据官方建议，升级到2021年年度或更新的软件版本后，许多低版本中的弱加密算法默认就会被禁用。
如果暂时无法升级，可以通过修改SSL服务器策略，手动禁用不安全的算法来完成修复。
下面是针对你列出的漏洞，通用的手动修复命令流程和具体漏洞对应的配置要点。
核心修复步骤：配置安全的SSL策略
以下步骤将指导你创建一个新的、安全的SSL策略，并应用到HTTPS管理服务上。
进入系统视图并创建PKI域
<H3C> system-view [H3C] pki domain test [H3C-pki-domain-test] undo crl check enable [H3C-pki-domain-test] quitbash导入证书（可选）
如果需要，可以将CA证书和本地证书导入到PKI域中。V7防火墙通常可以使用设备自带的证书。[H3C] pki import domain test der ca filename ca.cer [H3C] pki import domain test p12 local filename server.pfxbash创建并配置SSL服务器端策略
这是修复漏洞的核心。创建一个名为test的策略，并配置允许的加密套件。[H3C] ssl server-policy test [H3C-ssl-server-policy-test] pki-domain testbash接下来，使用
ciphersuite命令来指定安全的加密套件。请根据下方“漏洞与命令对照表”选择你需要的命令。应用SSL策略到HTTPS服务
需要重启HTTPS服务，使新策略生效。[H3C] undo ip https enable [H3C] undo ip http enable [H3C] ip https ssl-server-policy test [H3C] ip https enable [H3C] ip http enablebash（可选）重启SSL VPN服务
如果设备开启了SSL VPN功能，也需要进入相应的SSL VPN context视图重启服务。[H3C] sslvpn context sslvpn [H3C-sslvpn-context-sslvpn] undo service enable [H3C-sslvpn-context-sslvpn] service enablebash
漏洞与命令对照表
在执行第三步 ciphersuite 命令时，根据你要修复的漏洞，选择对应的配置。
请注意：
ciphersuite命令的写法是白名单机制，即命令中列出的算法是仅允许的算法。因此，配置时务必只列出安全的算法。
system-view
ssl server-policy [policy-name]
undo support tls1.0
undo support tls1.1
quit
2. 配置强加密算法套件（仅保留高安全性套件）：
ssl server-policy [policy-name]
cipher-suite ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256
quit
3. 禁用RSA密钥交换（强制使用ECDHE）：
ssl server-policy [policy-name]
undo support rsa-keyx
quit
4. 应用策略到相关服务（如HTTPS管理、IPSec VPN等）：
例如应用到Web管理：
ip https ssl-server-policy [policy-name]
例如应用到SSL VPN：
ssl vpn context [context-name]
ssl server-policy [policy-name]
quit
注：替换[policy-name]为实际策略名，需确保业务端支持配置的TLS版本和加密套件，避免业务中断。
暂无评论
现场设备扫出来CVE-2016-2183漏洞
过程分析
查询发现CVE-2016-2183是RC4的弱加密算法漏洞，需要禁用对应的弱加密算法
参考案例处理，发现设备不支持undo ip http enable和undo ip https enable，仅配置netconf soap https ssl-server-policy，432端口扫不出来了，但是80端口还能继续扫出来这个漏洞
解决方法
可以使用security-enhanced level 2命令，将弱加密算法都禁掉，也不需要再绑定ssl策略了
注意需要先disbale 3条默认命令，再使能security-enhanced level 2，注意配置后需要重启相关服务
1. ssl renegotiation disable
2. ssl version tls1.0 disable
3. ssl version ssl3.0 disable
再配置security-enhanced level 2
security-enhanced level 的命令说明如下，可以参考：
【使用指导】
设备的安全增强级别有两个，分别为1和2，2的安全级别较高。当设备的安全级别为2时，对SSL应用有如下限制：
· SSL客户端策略和SSL服务器端策略不支持DES、3DES、MD5、RC4和RC2类型的加密套件。
· SSL客户端策略和服务器端策略均不支持使用低于TLS1.1的SSL协议版本。
· 不支持开启SSL重协商功能。
用户可以根据自身对安全增强级别的需求，通过本命令来配置调整设备的安全增强级别。
安全增强级别切换之后，对于引用SSL策略的服务（如HTTP和SSL VPN服务），需要重启相关服务，以更新引用的SSL策略。
扫描出漏洞的解决方案为：
CVE-2015-2808：
Comware平台可以通过如下方式解决：
1、首先创建一个PKI域：
[H3C] pki domain test
[H3C-pki-domain-test] undo crl check enable
（V5命令：crl check disable）
2、在配置视图下通过命令ssl server-policy policy-name进入服务器端策略视图，修改SSL加密套件，使其不再包含RC4算法：
<H3C>system-view
[H3C]ssl server-policy test
[H3C-ssl-server-policy-test]ciphersuite ?
dhe_rsa_aes_128_cbc_sha
dhe_rsa_aes_256_cbc_sha
exp_rsa_des_cbc_sha
exp_rsa_rc2_md5
exp_rsa_rc4_md5
rsa_3des_ede_cbc_sha
rsa_aes_128_cbc_sha
rsa_aes_256_cbc_sha
rsa_des_cbc_sha
rsa_rc4_128_md5
rsa_rc4_128_sha
[H3C]display ssl server-policy test
SSL server policy: test
PKI domain:
Ciphersuites:
RSA_AES_128_CBC_SHA
RSA_DES_CBC_SHA
RSA_3DES_CBC_SHA
RSA_AES_256_CBC_SHA
RSA_RC2_CBC_MD5
EXP_RSA_DES_CBC_SHA
DHE_RSA_AES_128_CBC_SHA
DHE_RSA_AES_256_CBC_SHA
Session cache size: 500
Caching timeout: 3600 seconds
Client-verify: Disabled
3、引用PKI域：
[H3C-ssl-server-policy-test] pki-domain test
4、禁用当前对外提供的SSL服务，如HTTPS：
[H3C] undo ip https enable
[H3C] undo ip http enable
5、配置SSL服务如HTTPS服务引用前面自定义的SSL Server端策略：
[H3C] ip https ssl-server-policy test
6、重新使能SSL服务，例如重新使能HTTPS服务：
[H3C] ip https enable
[H3C] ip http enable
暂无评论
H3C SecPath F1000 防火墙 SSL 漏洞完整修复命令（Comware V7 平台，覆盖全部扫描漏洞）
漏洞对应说明
目标使用 TLS1.0/TLS1.1 过期协议
RC4 弱加密（CVE-2013-2566）、3DES 中等加密（CVE-2016-2183）、受诫礼攻击（CVE-2015-2808）
纯 RSA 密钥交换无前向保密、弱加密套件全部禁用
一、全局关闭不安全 SSL/TLS 版本（整机所有 SSL 服务生效）
plaintext
system-view
# 全局禁用SSL3.0、TLS1.0、TLS1.1，仅保留TLS1.2/TLS1.3
ssl version ssl3.0 tls1.0 tls1.1 disable
# 关闭SSL不安全重协商，防御受诫礼CVE-2015-2808
ssl renegotiation disable
二、新建安全 SSL 服务端策略（核心：剔除 RC4/3DES / 纯 RSA 弱套件）
1. 创建 SSL 策略
plaintext
# 创建加固专用SSL服务端策略
ssl server-policy SECURE-TLS
# 策略内再次强制关闭低版本（优先级高于全局）
version ssl3.0 disable
version tls1.0 disable
version tls1.1 disable
# 仅保留安全ECDHE套件，彻底清除RC4、3DES、纯RSA套件
ciphersuite ecdhe_rsa_aes_128_gcm_sha256 ecdhe_rsa_aes_256_gcm_sha384 dhe_rsa_aes_128_gcm_sha256 dhe_rsa_aes_256_gcm_sha384
quit
套件说明：
删除所有含rc4/des/3des、纯rsa_xxx无 ECDHE 套件（解决 CVE-2013-2566、CVE-2016-2183、RSA 密钥交换漏洞）
仅保留 GCM 模式 AEAD 加密，无 CBC 弱分组密码
2. 绑定防火墙 Web 管理 HTTPS 服务（最常扫端口 443）
plaintext
# 解绑原有默认策略
undo ip https ssl-server-policy
# 绑定加固后的SSL策略
ip https ssl-server-policy SECURE-TLS
# 强制HTTPS最低协商版本TLS1.2
ip https ssl min-version tls1.2
# 重启HTTPS服务生效
undo ip https enable
ip https enable
三、SSL VPN 同步加固（若设备开启 SSL VPN，漏扫会检测 4433 等端口）
plaintext
# 进入SSL VPN视图
sslvpn server
# 绑定安全SSL策略
ssl-server-policy SECURE-TLS
# 强制最低TLS1.2
ssl min-version tls1.2
quit
四、可选：PKI 证书配套优化（消除证书弱密钥风险）
plaintext
# 创建PKI域（自签证书适配）
pki domain SECURE-CERT
undo crl check enable
# 生成长度2048位RSA密钥（禁止1024弱密钥）
public-key rsa general name fw-key length 2048
quit
# 将PKI域绑定SSL策略
ssl server-policy SECURE-TLS
pki-domain SECURE-CERT
quit
五、安全策略放行管理（避免配置后无法登录 Web）
plaintext
security-policy ip
rule name Trust-To-Local-Web
source-zone trust
destination-zone local
service http
service https
action pass
quit
六、校验验证命令（配置完成后核查是否生效）
plaintext
# 查看全局SSL版本禁用状态
display ssl version
# 查看SSL服务端加密套件
display ssl server-policy SECURE-TLS
# 查看HTTPS绑定的SSL策略
display ip https
# 查看SSL VPN配置
display sslvpn server
# 查看当前SSL协商日志
display logbuffer | include SSL
七、保存配置
plaintext
save force
漏洞根治逻辑对应
TLS1.0/TLS1.1 过期协议：ssl version tls1.0 tls1.1 disable + ip https ssl min-version tls1.2 彻底关闭
RC4 泄露 CVE-2013-2566 / 3DES CVE-2016-2183：ciphersuite 删除所有 rc4/des/3DES 算法
受诫礼攻击 CVE-2015-2808：ssl renegotiation disable 关闭不安全 SSL 重协商
纯 RSA 密钥交换漏洞：仅保留ecdhe_rsa/dhe_rsa前向保密套件，剔除无临时密钥的 RSA 套件
补充注意事项
Windows 7、老旧工业终端仅支持 TLS1.0/1.1，加固后将无法访问 HTTPS 管理页面，可临时放通 HTTP（ip http enable）内网管理；
若防火墙开启HTTPS 解密，解密策略里的 SSL 对象同样需要替换为SECURE-TLS策略；
设备固件建议升级至 2022 年后稳定版本，底层修复 SSL 协议底层安全缺陷。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论