Msin磨事

一、升级前准备

注意：

确保yum源可用并处于正常状态，yum clean all && yum makecache
确保有密码登录用户并且有sudo权限，用于telnet登录

1.安装telnet服务

安装telnet 服务，用于卸载ssh后的操作

yum install -y telnet-server xinetd   #安装telnet-server xinetd 服务

systemctl start telnet.socket         #启动telnet

systemctl start  xinetd               #启动xinetd

cp /etc/securetty /etc/securetty.bak  #备份安全文件

echo 'pts/0' >> /etc/securetty        #允许telnet访问最高权限控制台

echo 'pts/1' >> /etc/securetty        #允许telnet访问最高权限控制台

echo "pts/2" >> /etc/securetty

systemctl restart telnet.socket

systemctl enable xinetd.service      #配置开机启动，防止操作过程中机器重启后无法连接

systemctl enable telnet.socket

systemctl restart telnet.socket

2.创建用于telnet登录的用户（如果已有，此步骤跳过）

创建用户

useradd upsshd                                        #创建用户
passwd upsshd                                         #修改密码 echo IO5QBPtBxztnh1dM1seC== |passwd --stdin upsshd #不建议这样echo执行
echo 'upsshd ALL=(ALL)        ALL' >> /etc/sudoers    #给与用户sudo权限 ，如果有root密码，此步可以跳过
systemctl restart telnet.socket                       #重启telnet服务

3.安装基础组件

安装基础组件

yum install openssl-devel gcc-c++ pam-devel pam gcc make perl zlib zlib-devel          #安装所需组件
rpm -qa | egrep "gcc|make|perl|zlib|zlib-devel|pam|pam-devel"                          #查看组件是否都已安装

二、升级ssh服务

注意：

本次教程升级的是目前最新版：openssh-8.3p1.tar.gz
确保telnet服务正常并且能够登录，以下操作开始采用telnet登录进行操作

1.卸载旧服务

卸载旧服务

ssh -V                            #查看当前ssh版本
rpm -qa |grep openssh             #列出当前已安装的openssh软件包
systemctl stop sshd               #停止ssh服务
cp -r /etc/ssh /etc/ssh.old       #备份原有ssh配置
rpm -e --nodeps openssh-clients   #卸载上条命令列出的软件包
rpm -e --nodeps openssh
rpm -e --nodeps openssh-server

2.编译安装新服务

编译安装新版本

install  -v -m700 -d /var/lib/sshd                                                   #重置目录权限
chown    -v root:sys /var/lib/sshd                                                   #重置目录权限
userdel ssh && groupdel ssh                                                          #删除原有sshd用户和组
groupadd -g 74 sshd                                                                  #重新创建sshd用户和组
useradd  -c 'sshd PrivSep' \
         -d /var/lib/sshd  \
         -g sshd           \
         -s /bin/false     \
         -u 74 sshd
wget http://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-8.3p1.tar.gz
tar -xf openssh-8.3p1.tar.gz
cd openssh-8.3p1/
./configure --prefix=/usr                     \                                       #设置选项sshd  
            --sysconfdir=/etc/ssh             \
            --with-md5-passwords              \
            --with-privsep-path=/var/lib/sshd \
            --with-zlib                       \
            --with-pam
make                                                                                   #编译
chmod 600 /etc/ssh/ssh_host_rsa_key                                                    #修改文件权限
chmod 600 /etc/ssh/ssh_host_ecdsa_key
chmod 600 /etc/ssh/ssh_host_ed25519_key
make install                                                                           #安装
ssh -V                                                                                 #验证版本

3.额外安装步骤

额外安装步骤

install -v -m755    contrib/ssh-copy-id /usr/bin     &&          #安装额外组件和文档
install -v -m644    contrib/ssh-copy-id.1 \
                    /usr/share/man/man1              &&
install -v -m755 -d /usr/share/doc/openssh-8.3p1     &&
install -v -m644    INSTALL LICENCE OVERVIEW README* \
                    /usr/share/doc/openssh-8.3p1

4.恢复sshd配置

恢复ssh配置

mv /etc/ssh/sshd_config /etc/ssh/sshd_config.new.bak              #备份配置
cp /etc/ssh.old/sshd_config /etc/ssh/sshd_config                  #恢复原配置

5.sshd服务配置

ssh服务配置

cp -p contrib/redhat/sshd.init /etc/init.d/sshd        #配置sshd开机启动
chmod +x /etc/init.d/sshd
chkconfig --add sshd
chkconfig sshd on
systemctl restart sshd

三、还原telnet配置

注意：

操作这之前需确认sshd服务能正常登录，和开机启动正常
telnet服务采用的是明文传输，及其不安全，确认ssh服务正常后需尽快关闭

1.还原telnet

还原还telnet

systemctl stop telnet.socket
systemctl stop xinetd
systemctl disable telnet.socket
systemctl disable xinetd
yum remove telnet-server
yum remove xinetd
userdel upsshd
groupdel upsshd

Msin磨事

CentOS7 升级ssh，修复漏洞，基于远端

升级说明：

一、升级前准备

1.安装telnet服务

2.创建用于telnet登录的用户（如果已有，此步骤跳过）

3.安装基础组件

二、升级ssh服务

1.卸载旧服务

2.编译安装新服务

3.额外安装步骤

4.恢复sshd配置

5.sshd服务配置

三、还原telnet配置