等保测评-Centos7制作openssh的rpm包，升级到openssh-9.2p1

每个系统都会经历漏洞扫描，可能大家遇到最多的漏洞就是ssh升级，升级到最新的版本就需要到官网下载最新的tar包进行编译安装，如果主机数量多那将是很头痛的一件事，本文教大家用rpm-build工具制作openssh的rpm包，如果小伙伴想自己动手制作rpm包的话可以仔细研究一下这个工具哦。

1、创建路径

mkdir -p /root/rpmbuild/SOURCES
mkdir -p /root/rpmbuild/SPECS
cp openssh-8.5p1.tar.gz /root/rpmbuild/SOURCES/

2、制作准备

#安装必要的包
  yum install rpm-build zlib-devel openssl-devel gcc perl-devel pam-devel unzip libXt-devel imake gtk2-devel
  #备份关键文件
  cp /etc/pam.d/sshd /etc/pam.d/sshd-bak
  cp -p /etc/pam.d/system-auth /etc/pam.d/system-auth-bak
  cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config-bak
  cp -p /etc/ssh/ssh_config /etc/ssh/ssh_config-bak
  #解压tar包
  cd /root/rpmbuild/SOURCES/
  tar -zxf openssh-8.5p1.tar.gz 
  #复制出官方提供的spec文件，rpm-build需要根据这个文件来制作rpm包
  cp openssh-8.5p1/contrib/redhat/openssh.spec .
  #关掉no_gnome_askpass no_x11_askpass这两个参数
  sed -i -e "s/%define no_x11_askpass 0/%define no_x11_askpass 1/g" openssh.spec
  sed -i -e "s/%define no_gnome_askpass 0/%define no_gnome_askpass 1/g" openssh.spec

3、开始制作rpm包

rpmbuild -ba openssh.spec

下面是可能会遇到的错误

#问题1
  rpmbuild -ba openssh.spec
错误：构建依赖失败：
  openssl-devel < 1.1 被 openssh-8.5p1-1.el7.centos.x86_64 需要
#解决1
  vi openssh.spec 
  注释掉 
  BuildRequires: openssl-devel < 1.1 
  以此来忽略错误，这一行一般在103行左右
#问题2
  rpmbuild -ba openssh.spec
错误：文件 /root/rpmbuild/SOURCES/x11-ssh-askpass-1.2.4.1.tar.gz：没有那个文件或目录
#解决2
   请前往网址：
   https://src.fedoraproject.org/repo/pkgs/openssh/x11-ssh-askpass-1.2.4.1.tar.gz/
   下载tar包然后手动上传到/root/rpmbuild/SOURCES/就可以了
   不用wget的原因是wget下载的tar包在rpmbuild执行时解压会报错，下载后tar -zxf无法执行，只能手动下载然后上传
#问题3
   rpmbuild -ba openssh.spec
错误：构建依赖失败：
        libXt-devel 被 openssh-8.5p1-1.el7.centos.x86_64 需要
        imake 被 openssh-8.5p1-1.el7.centos.x86_64 需要
#解决3
   yum install -y ***
   缺什么包就安装什么包
#问题4
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0640 for '/etc/ssh/ssh_host_rsa_key' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
key_load_private: bad permissions
Could not load host key: /etc/ssh/ssh_host_rsa_key
#解决4
chmod 600 /etc/ssh/ssh_host_rsa_key
#问题5（我没遇到过，仅供参考）
*** ERROR: No build ID note found in /root/rpmbuild/BUILDROOT/openssh-8.5p1-1.el7.centos.x86_64/usr/libexec/openssh/ssh-keysign
错误：/var/tmp/rpm-tmp.2YjX49 (%install) 退出状态不好
RPM 构建错误：
    /var/tmp/rpm-tmp.2YjX49 (%install) 退出状态不好
#解决5
   在/usr/src/redhat/SPECS/openssh.spec 最后面加（注意格式）
%define __debug_install_post   \
   %{_rpmconfigdir}/find-debuginfo.sh %{?_find_debuginfo_opts} "%{_builddir}/%{?buildsubdir}"\
%{nil}

4、制作完成

检查未打包文件：/usr/lib/rpm/check-files /root/rpmbuild/  BUILDROOT/openssh-8.5p1-1.el7.x86_64
  写道:/root/rpmbuild/SRPMS/openssh-8.5p1-1.el7.src.rpm
  写道:/root/rpmbuild/RPMS/x86_64/  openssh-8.5p1-1.el7.x86_64.rpm
  写道:/root/rpmbuild/RPMS/x86_64/  openssh-clients-8.5p1-1.el7.x86_64.rpm
  写道:/root/rpmbuild/RPMS/x86_64/  openssh-server-8.5p1-1.el7.x86_64.rpm
  写道:/root/rpmbuild/RPMS/x86_64/  openssh-debuginfo-8.5p1-1.el7.x86_64.rpm
  执行(%clean): /bin/sh -e /var/tmp/rpm-tmp.0dMET2
  + umask 022
  + cd /root/rpmbuild/BUILD
  + cd openssh-8.5p1
  + rm -rf /root/rpmbuild/BUILDROOT/  openssh-8.5p1-1.el7.x86_64
  + exit 0

备份配置文件

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.20201209
cp /etc/pam.d/sshd      /etc/pam.d/sshd.20201209

5、进入打包后的文件路径开始安装

cd /root/rpmbuild/RPMS/x86_64/
yum install ./openssh-* -y

6、安装后的工作

必要的操作：
删除旧的ssh的key密钥文件，不删除会导致重启失败

rm -f /etc/ssh/ssh*key

然后可以直接重启来生成这些文件，或者手动生成文件

ssh-keygen -t rsa -f /etc/ssh/ssh_host_rsa_key
ssh-keygen -t dsa -f /etc/ssh/ssh_host_dsa_key
ssh-keygen -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key
ssh-keygen -t ed25519 -f /etc/ssh/ssh_host_ed25519_key

根据需求进行操作
需要root用户登录的执行下边的命令，默认是不允许root登录的

echo "PermitRootLogin yes" >>/etc/ssh/sshd_config

如果重启后发现账号密码都对但是就是无法登录的请还原/etc/pam.d/sshd文件

cp /etc/ssh/sshd_config.20201209 /etc/ssh/sshd_config
cp /etc/pam.d/sshd.20201209 /etc/pam.d/sshd

7、重启sshd服务

systemctl restart sshd

8、修改key的权限（可以不改）

chmod 400 /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_dsa_key /etc/ssh/ssh_host_ecdsa_key /etc/ssh/ssh_host_ed25519_key

9、最终效果

[root@sibalaxi01 ~]# ssh -V
OpenSSH_8.5p1, OpenSSL 1.0.2k-fips  26 Jan 2017

10、问题

1.版本升级成功，重启ssh时一直处于启动状态，工具连接时出现 Deny access

vi /etc/selinux/config   
修改为diasbled
setenforce  0  #立即生效

之后ssh服务可以正常重启，也可远程连接

2.之前的CRT工具可能无法连接,可以换高版本crt

作者：Esofar

出处：https://www.cnblogs.com/nwnusun/p/16458657.html

版权：本作品采用「署名-非商业性使用-相同方式共享 4.0 国际」许可协议进行许可。