成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

Nginx修復(fù)漏洞打補(bǔ)丁過(guò)程

Pandaaa / 4039人閱讀

摘要：漏洞報(bào)告最近收到安全部門(mén)的安全掃描報(bào)告。遠(yuǎn)程攻擊者可利用該漏洞獲取敏感信息或造成拒絕服務(wù)。廠商補(bǔ)丁目前廠商已發(fā)布升級(jí)補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接一個(gè)高危漏洞，趕緊網(wǎng)上查詢下資料這準(zhǔn)備修復(fù)。

漏洞報(bào)告

最近收到安全部門(mén)的安全掃描報(bào)告。內(nèi)容如下：

nginx 安全漏洞（CVE-2018-16845）    中危    nginx類    nginx是由俄羅斯的程序設(shè)計(jì)師Igor Sysoev所開(kāi)發(fā)的一款輕量級(jí)Web服務(wù)器/反向代理服務(wù)器及電子郵件（IMAP/POP3）代理服務(wù)器。 Nginx 1.15.5及之前的版本和1.14.1版本中的ngx_http_mp4_module組件存在內(nèi)存泄露漏洞，該漏洞源于程序沒(méi)有正確處理MP4文件。遠(yuǎn)程攻擊者可利用該漏洞獲取敏感信息或造成拒絕服務(wù)。    廠商補(bǔ)丁: 目前廠商已發(fā)布升級(jí)補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接： http://mailman.nginx.org/pipermail/nginx-announce/2018/000221.html

一個(gè)高危漏洞，趕緊網(wǎng)上查詢下資料這準(zhǔn)備修復(fù)。

修復(fù)過(guò)程

去補(bǔ)丁地址獲取補(bǔ)丁,可以看到這個(gè)內(nèi)容：

Patch for the issue can be found here:

http://nginx.org/download/patch.2018.mp4.txt

點(diǎn)擊獲取查看補(bǔ)丁信息：

--- src/http/modules/ngx_http_mp4_module.c
+++ src/http/modules/ngx_http_mp4_module.c
@@ -942,6 +942,13 @@ ngx_http_mp4_read_atom(ngx_http_mp4_file
                 atom_size = ngx_mp4_get_64value(atom_header + 8);
                 atom_header_size = sizeof(ngx_mp4_atom_header64_t);
 
+                if (atom_size < sizeof(ngx_mp4_atom_header64_t)) {
+                    ngx_log_error(NGX_LOG_ERR, mp4->file.log, 0,
+                                  ""%s" mp4 atom is too small:%uL",
+                                  mp4->file.name.data, atom_size);
+                    return NGX_ERROR;
+                }
+
             } else {
                 ngx_log_error(NGX_LOG_ERR, mp4->file.log, 0,
                               ""%s" mp4 atom is too small:%uL",
第一行和第二行表示漏洞發(fā)生的文需要修改的文件
第三行表示修復(fù)前的漏洞位置在942行的后6行，942，13為補(bǔ)丁添加的位置到第13行
真正需要添加的部分為+號(hào)部分，復(fù)制定漏洞文件需要?jiǎng)h除+號(hào)（+表示新增）

接著去nginx的啟動(dòng)文件夾，查看編譯參數(shù)信息：

./nginx -V

得到如下信息:

nginx version: nginx/1.11.5 built by gcc 4.8.5 20150623 (Red Hat 4.8.5-36) (GCC)  built with OpenSSL 1.0.1c 10 May 2012 TLS SNI support enabled configure arguments: --prefix=/app/nginx/nginx --with-pcre=/app/nginx/soft/pcre-8.35 --with-zlib=/app/nginx/soft/zlib-1.2.8 --with-openssl=/app/nginx/soft/openssl-1.0.1c --with-http_ssl_module --with-http_realip_module
需要用到的內(nèi)容為configure arguments:后的內(nèi)容

去nginx源碼目錄編譯

cd nginx-1.11.5 && ./configure --prefix=/app/nginx/nginx --with-pcre=/app/nginx/soft/pcre-8.35 --with-zlib=/app/nginx/soft/zlib-1.2.8 --with-openssl=/app/nginx/soft/openssl-1.0.1c --with-http_ssl_module --with-http_realip_module  && make 
注意：不要make install,不然會(huì)覆蓋現(xiàn)有的

等待編譯成功后會(huì)生成一個(gè)objs目錄，進(jìn)入目錄

cd objs

復(fù)制編譯生成的可執(zhí)行文件到原先的nginx的sbin目錄

cp nginx /app/nginx/nginx/sbin
注意，復(fù)制前建議先備份原有的sbin文件

切換進(jìn)程:

make upgrade

或者去替換的sbin目錄

,./nginx -s reload

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/40589.html

相關(guān)文章

  • 及時(shí)打補(bǔ)丁!警惕NETGEAR智能交換機(jī)的嚴(yán)重認(rèn)證繞過(guò)漏洞

    摘要：網(wǎng)絡(luò)存儲(chǔ)和安全解決方案提供商上周五發(fā)布了補(bǔ)丁，以解決影響其智能交換機(jī)的三個(gè)安全漏洞，攻擊者可能會(huì)濫用這些漏洞來(lái)完全控制易受攻擊的設(shè)備。隨著網(wǎng)絡(luò)攻擊事件愈發(fā)頻繁，網(wǎng)絡(luò)安全已成為重點(diǎn)關(guān)注問(wèn)題。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hidde...

    learn_shifeng 評(píng)論0 收藏0

  • 十年未變！安全，誰(shuí)之責(zé)？（下）

    摘要：在十年未變安全，誰(shuí)之責(zé)上中，我們介紹了安全領(lǐng)域的現(xiàn)狀和新的解決方案，那么究竟是什么它在應(yīng)用安全多變的今天又能帶給我們什么樣效果我們將通過(guò)何種方式才能打贏這場(chǎng)與黑客之間的攻堅(jiān)戰(zhàn)呢應(yīng)用安全行業(yè)快速發(fā)展的數(shù)十年間，出現(xiàn)了許多巨變。 在 十年未變！安全，誰(shuí)之責(zé)？（上）中，我們介紹了安全領(lǐng)域的現(xiàn)狀和RASP新的解決方案，那么 RASP 究竟是什么？它在應(yīng)用安全多變 的今天又能帶給我們什么樣效果？...

    Chaz 評(píng)論0 收藏0

  • 漏洞6個(gè)月未修補(bǔ)，谷歌云全球宕機(jī)2小時(shí)

    摘要：月日，谷歌官方發(fā)布了本次宕機(jī)調(diào)查結(jié)果。谷歌表示此次宕機(jī)時(shí)長(zhǎng)小時(shí)分鐘，從年月日開(kāi)始，到結(jié)束。但是谷歌官方認(rèn)為該漏洞已經(jīng)存在個(gè)月了，他們僅將其定為內(nèi)部高優(yōu)先級(jí)事故。最后谷歌官方還對(duì)本次宕機(jī)事件進(jìn)行了道歉，并確保以后不再發(fā)生此類問(wèn)題。 ...

    不知名網(wǎng)友 評(píng)論0 收藏0

  • 電商安全無(wú)小事，如何有效地抵御 CSRF 攻擊？

    摘要：與攻擊相比，攻擊往往很少見(jiàn)，因此對(duì)其進(jìn)行防范的資源也相當(dāng)稀少。不過(guò)，這種受信任的攻擊模式更加難以防范，所以被認(rèn)為比更具危險(xiǎn)性。通過(guò)實(shí)時(shí)升級(jí)系統(tǒng)快速同步最新漏洞，避免零日攻擊。 現(xiàn)在，我們絕大多數(shù)人都會(huì)在網(wǎng)上購(gòu)物買(mǎi)東西。但是很多人都不清楚的是，很多電商網(wǎng)站會(huì)存在安全漏洞。比如烏云就通報(bào)過(guò)，國(guó)內(nèi)很多家公司的網(wǎng)站都存在 CSRF 漏洞。如果某個(gè)網(wǎng)站存在這種安全漏洞的話，那么我們?cè)谫?gòu)物的過(guò)程中...

    趙連江 評(píng)論0 收藏0

  • 阿里云服務(wù)器被挖礦怎么解決

    摘要：微軟雅黑宋體春節(jié)剛開(kāi)始，我們安全，發(fā)布了年服務(wù)器被挖礦的整體安全分析報(bào)告。我們調(diào)查分析發(fā)現(xiàn)，從網(wǎng)站漏洞被爆出后到修復(fù)漏洞的時(shí)間約大，一些網(wǎng)站被攻擊的狀況就越嚴(yán)重，服務(wù)器被挖礦的事情就會(huì)發(fā)生，如果及時(shí)的修復(fù)漏洞，那么就可以避免被挖礦。春節(jié)剛開(kāi)始，我們SINE安全，發(fā)布了2018年服務(wù)器被挖礦的整體安全分析報(bào)告。該安全報(bào)告主要是以我們?nèi)ツ甑恼荒甑陌踩珨?shù)據(jù)為基礎(chǔ)，對(duì)這些服務(wù)器的被挖礦的整體情況進(jìn)...

    jas0n 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<