如何测试Jboss 7AS的POODLE漏洞

Question

我们在Jboss 7AS中遇到了POODLE漏洞，我能够解决同一问题。

将protocol="TLSv1,TLSv1.1,TLSv1.2"属性添加到ssl中的standalone.xml标记。

Source

现在我不知道如何测试它。有人可以让我知道测试它的方法吗？

Answer 1

试试nmap贵宾犬检测器

https://nmap.org/nsedoc/scripts/ssl-poodle.html

摘要

  

检查是否允许SSLv3 CBC密码（POODLE）

     

使用-sV运行以使用Nmap的服务扫描来检测SSL / TLS   非标准端口。否则，ssl-poodle将仅在端口上运行   通常用于SSL。

     

POODLE是CVE-2014-3566。接受CBC的所有SSLv3实现   密码组织很脆弱。为了检测速度，这个脚本会   在发现第一个CBC密码套件后停止。如果你想   枚举所有CBC密码套件，您可以使用Nmap自己的密码套件   ssl-enum-ciphers对您的TLS密码套件进行全面审核。

Answer 2

Poodle是一个隐含影响SSLv3的漏洞。然后检查一下，你有很多方法可以做到。

使用nmap的第一种方式：

 $ nmap -sT -p443 --script ssl-poodle <target>

使用nmap的第二种方式：

 $ nmap -sT -p443 --script ssl-enum-ciphers <target>

如果你有SSLv3密码，那么你很容易受到攻击。

其他方式，使用sslscan：

$ sslscan <domain>

其他方式，使用openssl：

$ openssl s_client -ssl3 -connect host:port

如果连接，则您很容易受到攻击

其他方式，使用Qualys的SSL Test Server。

在Java中，您可以尝试连接SSLv3，如果服务器接受您的连接，那么您就容易受到攻击。

System.setProperty("https.protocols", "SSLv3");

在连接之前设置协议SSLv3。