码农视点

修改Nessus Web端口

Tue, 30 Mar 2021 23:43:06 +0800

修改Nessus Web端口

./nessuscli fix --set xmlrpc_listen_port=8834

Centos7安装Nessus 8.13.1

Tue, 30 Mar 2021 21:32:52 +0800

官网下载地址：https://www.tenable.com/downloads/nessus?loginAttempted=true

rpm -ivh Nessus-8.10.1-es7.x86_64.rpm

systemctl start nessusd.service

firewall-cmd --zone=public --add-port=8834/tcp --permanent #开启Nessus8834端口

firewall-cmd --reload #重启防火墙

在浏览器中访问https://IP:8834，一定要加https，不然会出现400 Bad Request.

选择Managed Scanner→Managed by Tenable.sc

现在会要求创建账号，自己设置账号密码！

等待初始化完成，初始化完成之后是没有扫描界面的，需要获取插件包.

现在先去https://zh-cn.tenable.com/products/nessus/nessus-essentials，注册一个账户，姓名东西随便填，邮箱一定要是能够收到邮件的，需要用来接收激活码，可以在网上搜索临时邮箱！

有了激活码之后需要challenge code

/opt/nessus/sbin/nessuscli fetch --challenge

访问输出的网址https://plugins.nessus.org/v2/offline.php，把challenge code填入第一个框，激活码填入第二个框:

激活成功后会返回一个更新包的下载链接，通过链接下载最新版的插件包.

下载完成后执行

/opt/nessus/sbin/nessuscli update all-2.0.tar.gz

vi plugin_feed_info.inc

PLUGIN_SET = "202103191032";

PLUGIN_FEED = "ProfessionalFeed (Direct)";

PLUGIN_FEED_TRANSPORT = "Tenable Network Security Lightning";

------------------------------------------------------------------------------------------------------

find / -name plugin_feed_info.inc

/opt/nessus/var/nessus/plugin_feed_info.inc

/opt/nessus/lib/nessus/plugins/plugin_feed_info.inc

systemctl stop nessusd.service

备份插件 /opt/nessus/lib/nessus/plugins/

cp -r plugins/ plugins_bak

替换/opt/nessus/var/nessus/plugin_feed_info.inc、/opt/nessus/lib/nessus/plugins/plugin_feed_info.inc两个文件

cp plugin_feed_info.inc /opt/nessus/var/nessus/plugin_feed_info.inc

cp plugin_feed_info.inc /opt/nessus/lib/nessus/plugins/plugin_feed_info.inc

启动nessus

systemctl start nessusd.service

完成后，发现设置页面没有变化，但/opt/nessus/lib/nessus/plugins/目录下的插件不见了。

systemctl stop nessusd.service

将备份插件目录/opt/nessus/lib/nessus/plugins/还原

cp -r plugins_bak/ plugins

cp plugin_feed_info.inc /opt/nessus/lib/nessus/plugins/

cp plugin_feed_info.inc /opt/nessus/var/nessus/

systemctl start nessusd.service

再次初始化。

CVE-2021-21972 CVE-2021-21974

Sun, 07 Mar 2021 23:17:55 +0800

一、漏洞概述

2021年2月23日，VMware官方发布安全通告，披露了vSphere Client、ESXi的两个高危漏洞。

CVE-2021-21972：vSphere Client（HTML5）在vCenter Server插件vRealize Operations中包含一个远程执行代码漏洞，CVSSv3评分9.8。受影响的vRealize Operations插件为默认安装。

CVE-2021-21974：ESXi中使用的OpenSLP存在堆溢出漏洞，CVSSv3评分8.8。与ESXi处于同一网段中且可以访问427端口的攻击者可触发OpenSLP服务中的堆溢出问题，从而导致远程执行代码。

参考链接：https://www.vmware.com/security/advisories/VMSA-2021-0002.html

二、影响范围

CVE-2021-21972

受影响版本

vCenter Server 7.0 < 7.0 U1c
vCenter Server 6.7 < 6.7 U3l
vCenter Server 6.5 < 6.5 U3n
Cloud Foundation (vCenter Server) 4.X < 4.2
Cloud Foundation (vCenter Server) 3.X < 3.10.1.2

不受影响版本

vCenter Server 7.0 U1c
vCenter Server 6.7 U3l
vCenter Server 6.5 U3n
Cloud Foundation (vCenter Server) 4.2
Cloud Foundation (vCenter Server) 3.10.1.2

CVE-2021-21974

受影响版本

ESXi 7.0 < 70U1c-17325551
ESXi 6.7 < 670-202102401-SG
ESXi 6.5 < 650-202102101-SG
Cloud Foundation (ESXi) 4.X <4.2
Cloud Foundation (ESXi) 3.X

不受影响版本

ESXi 70U1c-17325551
ESXi 670-202102401-SG
ESXi 650-202102101-SG
Cloud Foundation (ESXi) 4.2
Cloud Foundation (ESXi) 3.X 热补丁KB82705

三、漏洞防护

3.1官方升级

目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，对应产品版本的下载链接及文档如下：

产品版本	下载链接	操作文档
VMware ESXi 7.0 ESXi70U1c-17325551	https://my.vmware.com/group/vmware/patch	https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-esxi-70u1c.html
VMware ESXi 6.7 ESXi670-202102401-SG	https://docs.vmware.com/en/VMware-vSphere/6.7/rn/esxi670-202102001.html
VMware ESXi 6.5 ESXi650-202102101-SG	https://docs.vmware.com/en/VMware-vSphere/6.5/rn/esxi650-202102001.html
VMware vCloud Foundation 4.2	https://docs.vmware.com/en/VMware-Cloud-Foundation/4.2/rn/VMware-Cloud-Foundation-42-Release-Notes.html
VMware vCloud Foundation 3.10.1.2	https://docs.vmware.com/en/VMware-Cloud-Foundation/3.10.1/rn/VMware-Cloud-Foundation-3101-Release-Notes.html
vCenter Server 7.0.1 Update 1	https://my.vmware.com/web/vmware/downloads/details?downloadGroup=VC70U1C&productId=974	https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-vcenter-server-70u1c-release-notes.html
vCenter Server 6.7 U3l	https://my.vmware.com/web/vmware/downloads/details?downloadGroup=VC67U3L&productId=742&rPId=57171	https://docs.vmware.com/en/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3l-release-notes.html
vCenter Server 6.5 U3n	https://my.vmware.com/web/vmware/downloads/details?downloadGroup=VC65U3N&productId=614&rPId=60942	https://docs.vmware.com/en/VMware-vSphere/6.5/rn/vsphere-vcenter-server-65u3n-release-notes.html

3.2临时防护措施

3.2.1CVE-2021-21972

可参考官方临时修复建议（https://kb.vmware.com/s/article/82374）禁用vROPS插件：

1.通过SSH远程连接到VCSA（或远程桌面连接到Windows VC）

2.备份以下文件：

/etc/vmware/vsphere-ui/compatibility-matrix.xml (vCSA)

C:\ProgramData\VMware\vCenterServer\cfg\vsphere-ui (Windows VC)

3.使用文本编辑器添加一行：

最终文件内容如下：

4.vsphere-ui服务，命令：vmon-cli -r vsphere-ui。

5.检查禁用情况：访问https://<VC-IP-or-FQDN>/ui/vropspluginui/rest/services/checkmobregister，该页面应显示404。

在VSphere Client页面的Solutions->Client Plugins中，VMware vRops Client Plugin插件应显示“incompatible”

3.2.2 CVE-2021-21974

可参考官方临时修复建议（https://kb.vmware.com/s/article/76372）禁用CIM服务器：

使用以下命令在ESXi主机上停止SLP服务：/etc/init.d/slpd stop。仅当不使用SLP服务时，才可以停止该服务。可使用“esxcli system slp stats get”命令查看服务守护程序的运行状态。
使用以下命令禁用SLP服务：esxcli network firewall ruleset set -r CIMSLP -e 0。
使用以下命令保证此更改重启后依旧生效：chkconfig slpd off。
使用以下命令检查是否重启后更改成功：chkconfig –list | grep slpd。若成功，输出应为：slpd off

CVE-2021-21972 and CVE-2021-21973

Sun, 07 Mar 2021 23:14:27 +0800

vCenter Server 团队已调查 CVE-2021-21972 和 CVE-2021-21973，并且通过执行本文 Workworkund 部分中详述的步骤确定可以消除利用此漏洞的可能性。此解决办法旨在作为临时解决方案，直到可以部署 VMSA-2021-0002 中记录的更新。

影响和修复的 vCenter Server 版本：

版本	受影响的版本	固定版本	发布日期	VAMI/发行说明内部版本	Client/MOB/vpxd.log 内部版本编号
7.0	7.0 U1c 之前的所有版本	7.0 U1c（或更高版本）	2020-12-17	17327517（或更高版本）	17327586（或更高版本）
6.7 VCSA	6.7 U3l 之前的所有版本	6.7 U3l（或更高版本）	2020-11-19	17138064（或更高版本）	17137327（或更高版本）
6.7 Windows	6.7 U3l 之前的所有版本	6.7 U3l（或更高版本）	2020-11-19	17138064（或更高版本）	17137232（或更高版本）

版本	影响的版本	固定版本	发布日期	内部版本号
6.5（VCSA 和 Windows）	6.5 U3n 之前的所有版本	6.5 U3n（或更高版本）	2021-02-23	17590285（或更高版本）

以下链接详细说明了如何升级 VCSA 计算机。vSphere 6.7 https://communities.vmware.com/t5/vSphere-Upgrade-Install/Addressing-VMSA-2021-0002-for-vCenter-6-7/ta-p/2833192vSphere 7.0https：//communities.vmware.com/t5/vSphere-Upgrade-Install/Addressing-VMSA-2021-0002-for-vCenter-7-0/ta-p/2833079

功能影响：
影响仅限于使用 vRealize Operations 的环境。需要注意的是，无论 vRealize Operations 是否引入到环境中，vCenter Server 中都存在易受攻击的端点。

新 vRealize Operations 客户将没有通过插件自动安装和配置 vRealize Operations Appliance 的置备/选项。
在 vRealize Operations with vCenter 中配置 vCenter 适配器的客户将无法在 vSphere Client （HTML 5）中显示衡量指标和警示详细信息（包括 vCenter Server 和 vSAN 概览小组件）。

Resolution

《CVE-2021-21972 和 CVE-2021-21973 解决方案》记录在 VMSA-2021-0002。

Workaround

要实施基于 Linux 的虚拟设备（vCSA）上 CVE-2021-21972 和 CVE-2021-21973 的解决办法，请执行以下步骤：

插件必须设置为"不兼容"。从 UI 中禁用插件不会保护系统免受此漏洞的影响。
在运行 vCenter High Availability （VCHA）的环境中，需要同时在主动节点和被动节点上执行此解决办法

使用 SSH 会话和 root 凭据连接到 vCSA。
备份 /etc/vmware/vsphere-ui/compatibility-matrix.xml 文件：

cp -v /etc/vmware/vsphere-ui/compatibility-matrix.xml /etc/vmware/vsphere-ui/compatibility-matrix.xml.backup

在文本compatibility-matrix.xml 文件：

vi /etc/vmware/vsphere-ui/compatibility-matrix.xml

此文件的内容如下所示：

添加以下条目：

. . . .

</pluginsCompatibility>

</Matrix>

该文件应如下所示：

通过键入：compatibility-matrix.xmlcompatibility-matrix.xml :wq!
重新启动 vsphere-ui 服务。使用命令： service-control --restart vsphere-ui.
导航到 https://<VC-IP-or-FQDN>/ui/vropspluginui/rest/services/checkmobregister。此页面显示"404/未找到（如下所示）"错误。

在 vSphere Client （HTML5）中，在管理 > Solutions > client-plugins 下，VMware vROPS Client 插件可能会显示为"不兼容"，如下所示

这可确认端点/ui/vropspluginui设置为"不兼容"。

要针对基于 Windows 的 vCenter Server 部署实施 CVE-2021-21972 和 CVE-2021-21973 的解决办法，请执行以下步骤：

（插件必须设置为"不兼容"。从 UI 中禁用插件不会保护系统免受此漏洞的影响）

从 RDP 到基于 Windows 的 vCenter Server。
备份文件 –

C:\ProgramData\VMware\vCenterServer\cfg\vsphere-ui\compatibility-matrix.xml

此文件的内容如下所示：

添加以下条目：

. . . .

</pluginsCompatibility>

</Matrix>

文件应如下所示：

使用命令重新启动 vsphere-ui 服务：C:\Program Files\VMware\vCenter Server\bin> service-control --restart vsphere-ui
从 Web 浏览器中，导航到：

https://<VC-IP-or-FQDN>/ui/vropspluginui/rest/services/checkmobregister.
页面显示"404/未找到（如下所示）"错误：

在 vSphere Client （HTML 5）中，在管理 > Solutions > client-plugins 下，VMware vROPS Client 插件可能会显示为"不兼容"，如下所示：

这可确认端点/ui/vropspluginui 设置为"不兼容"。

要恢复在基于 Linux 的虚拟设备（vCSA）上 CVE-2021-21972 和 CVE-2021-21973 的解决办法，请执行以下步骤：

使用 SSH 会话和 root 凭据连接到 vCSA。
在文本compatibility-matrix.xml 文件：

vi /etc/vmware/vsphere-ui/compatibility-matrix.xml

移除该文件中的以下行。

. . . .

</pluginsCompatibility>

</Matrix>

重新启动 vsphere-ui service。使用命令 – service-control --restart vsphere-u
验证 vSphere-ui 服务已启动。
VMware vROPS 客户端插件状态为已部署/已启用

要恢复基于 Windows 的 vCenter Server 部署中 CVE-2021-21972 和 CVE-2021-21973 的解决办法，请执行以下步骤：

连接到 Windows vCenter Server。
使用文本编辑器编辑文件：

C:\ProgramData\VMware\vCenterServer\cfg\vsphere-ui\compatibility-matrix.xml

移除该文件中的以下行。

. . . .

</pluginsCompatibility>

</Matrix>

使用命令重新启动 vsphere-ui 服务：C:\Program Files\VMware\vCenter Server\bin> service-control --restart vsphere-ui
验证 vSphere-ui service 已启动。
VMware vROPS 客户端插件状态为已部署/已启用

有关如何启动/stop/服务的详细信息，请参见：

Related Information

有关 CVE-2021-21972 和 CVE-2021-21973 最新信息以及未来安全信息，请通过 mailing list Portal 登录 VMware 安全公告。RSS 源也可从公告自身获得。
如何在 VMware ESXi 上禁用/启用 CIM 服务器

esxi 通过离线包升级

Sun, 07 Mar 2021 23:10:24 +0800

建议就近版本升级，版本跨度过大或许容易出现各种BUG。

例如：esxi5.5->esxi 6.0

过程：

1、从官网下载你要升级到的版本的Offline Bundle,一个zip压缩包。例如（VMware-ESXi-6.5.0-OS-Release-5146846-HPE-650.9.6.5.27-May2017-depot.zip）。

2、将下载下来的Offline Bundle包（VMware-ESXi-6.5.0-OS-Release-5146846-HPE-650.9.6.5.27-May2017-depot.zip）上传到现有 esxi的存储（datastore）里面去。

3、关闭所有的虚拟机，然后主机进入“维护模式”。

4、打开esxi的SSH权限和服务。

5、用prutty或者xhell等ssh客户端登录esxi。然后开始命令行操作

//请根据自己的实际路径进行更改，datastore是我的存储名。请替换成你自己的
esxcli software sources profile list -d /vmfs/voluments/datastore/VMware-ESXi-6.5.0-OS-Release-5146846-HPE-650.9.6.5.27-May2017-depot.zip
//获取到Name   Vendor  Acceptance Level等数据，请选择其中的Name 复制下来，里面的非 Esxi-6.5.****-no-tools的名字，例如我的是ESXi-6.5.0-OS-Release-650.9.6.5.27
//请替换 -p(上上面获取到的Name) 和 -d (zip文件的绝对路径)的参数
esxcli software profile update -p ESXi-6.5.0-OS-Release-650.9.6.5.27 -d /vmfs/volumes/datastore/VMware-ESXi-6.5.0-OS-Release-5146846-HPE-650.9.6.5.27-May2017-depot.zip
//稍等片刻，提示update completed successfully 之后，
reboot
//好了，等待重新连接esxi吧。更新完成,记得去退出维护模式

完工。

VMware-vCenter-Server-Appliance VCSA升级步骤

Sun, 07 Mar 2021 23:09:30 +0800

1.下载ZIP升级文件并解压

2.打开HFS，把解压后的文件夹拖到“Virtual File System”下，在弹出的对话框中点击“Virtual folder”

3.HFS显示“Already in cliplboard”

4.在VCSA的IP地址后添加5480端口号，登录Appliance Management

5.点击“更新”——“设置”

6.在“存储库URL”中按Ctrl+V进行粘贴，然后点击“确定”

7.点击“检查更新”，选择“检查存储库”

8.检查到可用更新后，点击安装更新

9.更新大约需要5分钟。如遇VCSA虚拟机不能自动重启，输入reboot手动重启

10.重启后等待约5分钟，登录Appliance Management，在更新中查看更新版本

Centos7防火墙配置

Sat, 27 Feb 2021 22:05:35 +0800

1.查看firewall服务状态

systemctl status firewalld

2.查看firewall的状态

firewall-cmd --state

3.开启、重启、关闭、firewalld.service服务

# 开启
service firewalld start
# 重启
service firewalld restart
# 关闭
service firewalld stop

4.查看防火墙规则

firewall-cmd --list-all

5.查询、开放、关闭端口

# 查询端口是否开放
firewall-cmd --query-port=8080/tcp
# 开放80端口
firewall-cmd --permanent --add-port=80/tcp
# 移除端口
firewall-cmd --permanent --remove-port=8080/tcp
#重启防火墙(修改配置后要重启防火墙)
firewall-cmd --reload
# 参数解释
1. firwall-cmd：是Linux提供的操作firewall的一个工具；
2. --permanent：表示设置为持久；
3. --add-port：标识添加的端口；

6.针对IP开放端口

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.100.102" port protocol="tcp" port="80" accept"

7.删除针对IP开放端口

firewall-cmd --permanent  --remove-rich-rule="rule family="ipv4" source address="192.168.100.102" port protocol="tcp" port="8081" accept"