как проверить уязвимость POODLE для Jboss 7AS

Мы столкнулись с уязвимостью POODLE в Jboss 7AS, и я могу предоставить решение той же проблемы.

Добавляя атрибут protocol="TLSv1,TLSv1.1,TLSv1.2" к тегу ssl в standalone.xml.

Источник

Теперь я не знал, как я могу проверить это. Может кто-нибудь, пожалуйста, дайте мне знать, как это проверить?


java security jboss7.x poodle-attack
person Simpal Kumar    schedule 24.06.2015    source источник
comment
кто-нибудь знает, как это сделать??   -  person Simpal Kumar    schedule 24.06.2015
comment
ssllabs.com/ssltest   -  person artbristol    schedule 24.06.2015
comment
@artbristol спасибо... но на самом деле у меня есть локальный сервер... не могли бы вы протестировать его локально.   -  person Simpal Kumar    schedule 24.06.2015

Ответы (2)


arrow_upward
1
arrow_downward

Попробуйте детектор пуделей nmap

https://nmap.org/nsedoc/scripts/ssl-poodle.html

Из резюме

Проверяет, разрешены ли шифры SSLv3 CBC (POODLE)

Запустите с параметром -sV, чтобы использовать сканирование службы Nmap для обнаружения SSL/TLS на нестандартных портах. В противном случае ssl-poodle будет работать только на тех портах, которые обычно используются для SSL.

POODLE — это CVE-2014-3566. Все реализации SSLv3, которые принимают наборы шифров CBC, уязвимы. Для ускорения обнаружения этот сценарий остановится после обнаружения первого набора шифров CBC. Если вы хотите перечислить все наборы шифров CBC, вы можете использовать собственные ssl-enum-ciphers Nmap для полной проверки ваших наборов шифров TLS.

person artbristol    schedule 25.06.2015

arrow_upward
0
arrow_downward

Poodle — это уязвимость, которая косвенно влияет на SSLv3. Тогда для проверки у вас есть много способов сделать это.

Первый способ с nmap:

 $ nmap -sT -p443 --script ssl-poodle <target>

Второй способ с nmap:

 $ nmap -sT -p443 --script ssl-enum-ciphers <target>

Если здесь у вас есть шифры SSLv3, то вы уязвимы.

Другой способ, с sslscan:

$ sslscan <domain>

Другой способ, с openssl:

$ openssl s_client -ssl3 -connect host:port

Если подключитесь, вы уязвимы

Другой способ — использовать тестовый сервер SSL компании Qualys.

А в Java можно попробовать подключить SSLv3, если сервер примет ваше подключение, то вы уязвимы.

System.setProperty("https.protocols", "SSLv3");

Установите протокол SSLv3 перед соединением.

person sinkmanu    schedule 28.06.2015