常见漏洞以及修复方法

Drown漏洞  "DROWN"全称是 Decrypting RSA with Obsolete and Weakened Necryption，是指"利用过时的脆弱加密算法来对RSA算法进破解"，主要针对SSLv2协议漏洞来对TLS进行跨协议攻击。  "DROWN攻击"主要影响支持SSLv2的服务端和客户端。SSLv2是一种古老的协议，许多客户端已经不支持使用，但由于配置上的问题，许多服务器仍然支持SSLv2。  "DROWN"使得攻击者可以通过发送probe到支持SSLv2的使用相同密钥的服务端和客户端解密TLS通信。例如：将相同的私钥同时用在Web服务端和Email服务端，如果Email服务支持SSLv2，但web服务不支持，那么攻击者仍然能够利用EMAIL服务的SSLv2漏洞获取到web服务器的TLS连接数据。如何预防DROWN漏洞？这里建议用户不要用相同的私钥生成多张SSL证书，也不要将同一张SSL证书部署在多台服务器上。建议在每台服务器上均部署独立的SSL证书，这样攻击者将无法利用其它服务器的漏洞，对关键服务器进行攻击，即使其中一台服务器出现问题也不会影响其他服务器的正常运行。关闭所有服务器的SSLv2协议。如果使用了OpenSSL，大家可以参考OpenSSL官方给出的DROWN修复指南FREAK漏洞FREAK漏洞（全称：Factoring RSA Export Keys，中文：分解RSA出口级密钥）是SSL/TLS协议中的密码学安全漏洞。1990年代时，美国对于货物的出口设立了一些规定，从而引入了这个漏洞。规定中指出，美国软件制造商出口的软件只能使用512位及以下的RSA加密。