0x00
由于openssh版本过低，漏洞扫描给出安全漏洞CVE-2020-15778，基于安全的考虑，需要将centos7.6.10系统的openssh_7.4p1升级到最新版本openssh_8.4p1【于2021年3月3日更新】。
为了避免升级失败，先安装Telnet服务后再进行升级，升级完成后卸载Telnet服务。
0x01
一、安装Telnet服务并配置
yum -y install telnet telnet-server xinetd
service iptable save //保存防火墙配置
service iptables stop //关闭防火墙
sed -i 's/\(.*\)disable\(.*\)/\ \ \ \ \ \ \ \ disable\ \ \ \ \ \ =\ no/g' /etc/xinetd.d/telnet //修改Telnet配置文件 disable=no
cp /etc/securtty /etc/securetty.bak //备份securetty
echo "pts/0" >>/etc/securetty
echo "pts/1" >>/etc/securetty //可v以多添加几个窗口，到pts/5
service xinetd start //启动服务
chkconfig xinetd on
netstat -ntp|grep 23 //查看23端口是否处于监听状态
安装完成后进行测试telnet服务器是否能正常登陆后再进行升级。
二、检查系统环境
[root@localhost ~]# openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013
[root@localhost ~]# rpm -q zlib
zlib-1.2.3-29.el6.x86_64
[root@localhost ~]# rpm -q zlib-devel
zlib-devel-1.2.3-29.el6.x86_64
目前自带的openssl版本符合安装条件，自带的zlib也符合依赖。如果达不到版本可以进行升级后进行openssh升级
三、安装相关组件后升级openssh版本
yum install -y gcc gcc-c++ glibc make autoconf openssl-devel pcre-devel pam-devel rpm-build //安装依赖
wget -P /usr/local/src https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-8.4p1.tar.gz //下载安装包
官网更新的下载地址：https://www.openssh.com/portable.html#http
rpm -e `rpm -qa|grep openssh` --nodeps //卸载系统自带的openssh
cd /usr/local/src && tar -zxf openssh-8.4p1.tar.gz && cd openssh-8.4p1 //解压openssh安装包
./configure --prefix=/usr/ --sysconfdir=/etc/ssh --with-zlib --with-md5-passwords --with-pam --with-tcp-wrappers && make && make install //编译安装
sed -i 's/#PermitRootLogin prohibit-password/PermitRootLogin\ yes/g' /etc/ssh/sshd_config
sed -i 's/#PermitEmptyPasswords\(.*\)/PermitEmptyPasswords\ no/g' /etc/ssh/sshd_config //修改配置文件
cp /usr/local/src/openssh-8.4p1/contrib/redhat/sshd.init /etc/init.d/sshd
chmod 600 /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_ecdsa_key /etc/ssh/ssh_host_ed25519_key //更改权限，否则会报权限过大错误
chkconfig --add sshd
chkconfig sshd on
systemctl start sshd
systemctl restart sshd
ssh -V //此时显示openssh8.4p1
exit
升级完成后，退出服务器后重新登录。确认ssh可以登录服务器
四、卸载Telnet服务
mv /etc/securetty.bak /etc/securetty
service xinetd stop
chkconfig xinetd off
service iptables start
chkconfig iptables on
yum remove telnet-server xinetd //卸载Telnet
