java - 如何测试 Jboss 7AS 的 POODLE 漏洞

Question

我们在 Jboss 7AS 中遇到了 POODLE 漏洞，我能够为相同的问题提供修复。

通过将protocol="TLSv1,TLSv1.1,TLSv1.2"属性添加ssl到standalone.xml.

资源

现在我不知道如何测试它。有人可以告诉我测试它的方法吗？

Answer 1

试试 nmap 贵宾犬检测器

https://nmap.org/nsedoc/scripts/ssl-poodle.html

从总结

检查是否允许使用 SSLv3 CBC 密码 (POODLE)

使用 -sV 运行以使用 Nmap 的服务扫描来检测非标准端口上的 SSL/TLS。否则，ssl-poodle 将仅在 SSL 常用的端口上运行。

POODLE 是 CVE-2014-3566。接受 CBC 密码套件的所有 SSLv3 实现都容易受到攻击。为了加快检测速度，该脚本将在发现第一个 CBC 密码套件后停止。如果您想枚举所有 CBC 密码套件，您可以使用 Nmap 自己的 ssl-enum-ciphers 对您的 TLS 密码套件进行全面审核。

Answer 2

Poodle 是一个隐含影响 SSLv3 的漏洞。然后检查它，你有很多方法可以做到这一点。

nmap的第一种方法：

 $ nmap -sT -p443 --script ssl-poodle <target>

nmap 的第二种方法：

 $ nmap -sT -p443 --script ssl-enum-ciphers <target>

如果这里你有 SSLv3 密码，那么你很容易受到攻击。

其他方式，使用 sslscan：

$ sslscan <domain>

其他方式，使用openssl：

$ openssl s_client -ssl3 -connect host:port

如果连接，您很容易受到攻击

其他方式，使用Qualys 的SSL 测试服务器。

而在Java中，你可以尝试连接SSLv3，如果服务器接受你的连接，那么你就容易受到攻击。

System.setProperty("https.protocols", "SSLv3");

在连接前设置协议 SSLv3。