当前位置：首页 > 编程日记 > 正文

CentOS7 打包RPM 升级OpenSSH8.3

编程日记 2024-06-10 08:10:00

一、源码包

二、打包RPM

2.1、准备阶段

2.2、打包排错阶段

三、升级

漏扫设备发现OpenSSH有漏洞，需要升级到OpenSSH 8.1及以上版本，那么干脆就直接升级到发文时最新的版本，OpenSSH 8.3。做法是找到OpenSSH 8.3的源码包，用rpm-build打包成rpm包，再升级。

一、源码包

到OpenSSH官网https://www.openssh.com/，找到并下载源码包https://openbsd.hk/pub/OpenBSD/OpenSSH/portable/openssh-8.3p1.tar.gz ，打开Release Notehttps://www.openssh.com/txt/release-8.3。

安装wget和rpmbuild，并下载OpenSSH 8.3 源码包。

yum install wget rpm-build -y
wget https://openbsd.hk/pub/OpenBSD/OpenSSH/portable/openssh-8.3p1.tar.gz

下载后，对照Release Note进行sha1和sha256校验。发现sha1sum出来的校验和与官网给定的校验和一致，而sha256sum出来的校验和与官网的有出入。仔细读Release Note下面的一行字，原来sha256的校验和是base64的而不是十六进制的，因此需要转换一下（真TM的是个反人类的设计，直接写出来不就好了？）。

我们用cut截取sha256sum输出的第一个字段也就是校验和，再用xxd -r -p做出一个十六进制的dump输出，再用base64得到base64编码的校验和，这样就合官网的SHA256校验和一致了。

二、打包RPM

2.1、准备阶段

解压openssh-8.3p1.tar.gz。
执行一下rpmbuild生成一下rpmbuild的目录，报错是正常的，因为现在还没有openssh.spec文件，我们的目的就是生成一下目录。
把openssh-8.3p1.tar.gz复制到 rpmbuild/SOURCES/ 目录下
把cp openssh-8.3p1/contrib/redhat/openssh.spec文件复制到 rpmbuild/SPECS/目录里面。
修改openssh.spec所属用户和所属组为sshd，vim修改里面的内容，禁用x11-askpass和gnome-askpass。

2.2、打包排错阶段

执行rpmbuild -ba openssh.spec，出现报错。提示需要依赖openssl-devel和krb5-devel，并且openssl-devel的版本还有要求。

yum安装openssl-devel和krb5-devel，经过检查，发现系统已经安装了openssl-devel-1.0.2k，但是还是报这个版本不匹配错。

所以上网查找资料，发现通行的做法是修改openssh.spec文件，注释掉 BuildRequires: openssl-devel < 1.1 这行对版本的要求。

再打包发现不再报版本的报错，但是有了新的报错 configure: error: PAM headers not found 。经过查资料，发现是需要安装pam-devel。

继续安装pam-devel，再打包。报错error: Bad file: /root/rpmbuild/SOURCES/x11-ssh-askpass-1.2.4.1.tar.gz: No such file or directory。这个报错感觉很是奇怪，毕竟我已经注释掉了x11-askpass。继续查资料。

经查，需要下载一个包 x11-ssh-askpass-1.2.4.1.tar.gz 放到SOURCES目录下。再打包，报新错

error: Installed (but unpackaged) file(s) found:
/usr/libexec/openssh/ssh-sk-helper
/usr/share/man/man8/ssh-sk-helper.8.gz

wget http://ftp.riken.jp/Linux/momonga/6/Everything/SOURCES/x11-ssh-askpass-1.2.4.1.tar.gz
mv x11-ssh-askpass-1.2.4.1.tar.gz /root/rpmbuild/SOURCES

经查，需要注释掉文件 /usr/lib/rpm/macros 中 %__check_files %{_rpmconfigdir}/check-files %{buildroot} 的一行。再打包成功。

vim /usr/lib/rpm/macros
# %__check_files         %{_rpmconfigdir}/check-files %{buildroot}

打包生成4个rpm包放在 rpmbuild/RPM/x86_64目录下。

三、升级

先看当前ssh的版本，备份 /etc/ssh/ 目录和/etc/pam.d/sshd文件，升级用 rpm -Uvh xxx.rpm，升级后再查看一下ssh版本。

刚开始测试的时候，发现升级会修改 /etc/pam.d/sshd 文件导致登录不成功，因此务必备份 /etc/pam.d/sshd 文件。

[root@toy ~]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017[root@toy ~]# cp /etc/ssh/ -r /tmp/
[root@toy ~]# cp /etc/pam.d/sshd /tmp/[root@toy ~]# cd rpmbuild/RPMS/x86_64/
[root@toy x86_64]# rpm -Uvh *.rpm[root@toy x86_64]# ssh -V
OpenSSH_8.3p1, OpenSSL 1.0.2k-fips  26 Jan 2017

升级后，千万不要断开当前连接。否则，远程不上去，你就得进机房了……测试一下还能否正常远程连接，几个命令如 ssh，scp，sftp，ssh-keygen，ssh-copy-id等等。先测试一下能否远程登录，发现是不能的。检查一下sshd服务报错，发现提示有三个配置文件的读写权限不正确。/etc/ssh/ssh_host_rsa_key、/etc/ssh/ssh_host_ecdsa_key、/etc/ssh/ssh_host_ed25519_key 这三个文件的读写权限0640对于一个私钥文件来说太大了，应该是0600才正确。

[root@toy ssh]# systemctl status sshd
[root@toy ssh]# sshd -t

修改三个密钥文件的权限后，检查一下配置文件不再报错，重启sshd服务可以正常启动。但是，仍然不能全程登录。

这就是之前提到的升级的过程修改 /etc/pam.d/sshd文件的内容。将现有的 /etc/pam.d/sshd 文件备份，再把之前备份的 /tmp/sshd 覆盖回来。重启sshd服务，就可以登录了。

[root@toy ssh]# cd /etc/pam.d/
[root@toy pam.d]# ls
chfn              fingerprint-auth-ac  password-auth-ac  runuser            smtp.postfix  su-l            vmtoolsd
chsh              login                polkit-1          runuser-l          sshd          system-auth
config-util       other                postlogin         smartcard-auth     su            system-auth-ac
crond             passwd               postlogin-ac      smartcard-auth-ac  sudo          systemd-user
fingerprint-auth  password-auth        remote            smtp               sudo-i        vlock
[root@toy pam.d]# cp sshd sshd.bak
[root@toy pam.d]# cp /tmp/sshd .
cp: overwrite ‘./sshd’? y
[root@toy pam.d]# systemctl restart sshd

至此升级结束。

https://www.dkcj.cn/info/10072.html

CentOS7 打包RPM 升级OpenSSH8.3

一、源码包

二、打包RPM

2.1、准备阶段

2.2、打包排错阶段

三、升级

相关文章：

步步为营-44-窗体之间传值--观察者模式

java指令详解

wrs-arcface虹软人脸识别

C++指针与引用的区别

Linux08-日志

Java的小实验——各种测试以及说明

C++内存的分区

SpringCloud的服务网关zuul

wrs-tuya-cloud

Windows Server 2016 笔记

(办公)网页发送到桌面快捷方式怎么做

C++程序编译过程

Java的注释（详细版）

Hadoop的存储架构介绍

编译OpenSSH8.4的RPM包及升级

centos 系统使用verdaccio搭建npm私库

视觉SLAM中PNP求解

Java程序的运行原理用记事本编写Java代码

Linux下修改mysql的root密码后数据库消失怎么处理

编译httpd-2.4.46的RPM包

C/s模式B/S模式

分割catalina.out 每天生成一个文件

、|| 和、| 的区别（详尽版）

C++负数、小数如何保存

MySQL00-这都不知道还TM学啥MySQL

ORB_SLAM2 PnPSolver

iOS开发UI篇—多控制器和导航控制器简单介绍

值传递和地址传递的区别（好多句话才可以说清）

日期类的时间从为什么是从1970年1月1日（格林威治时间）

MySQL从5.7.32升级到8.0.22