此图像是否表示启用了SSLv3？

Question

我看到有TLSv1 / SSLv3，但使用的协议是TLSv1.2。

任何建议都在受到欢迎。

Answer 1

此特定测试未显示SSLv3。 New, <ver> Cipher is行是关于OpenSSL的内部密码描述的版本，对于SSLv3和所有版本的TLS（迄今为止）都是相同的，并且仅与SSLv2不同（今天没人应该使用，但OpenSSL仍然有除非指定了构建选项，否则支持的代码）。正确识别后，Protocol:中的值是实际协商的协议版本。

但这并不能证明SSLv3已被禁用。服务器可以支持多个协议版本，并为每个连接选择一个，最好是通常最高可用，大多数服务器都可以。默认情况下，openssl s_client提供最多 TLSv1.2，而能够使用TLSv1.2的服务器将同意这一点，就像本案例中的服务器一样。但是，如果客户提供较低版本，则服务器可以同意或拒绝它。 POODLE和类似攻击的工作原理是欺骗客户端提供服务器同意的SSLv3。因此，如果您要测试此漏洞，请尝试使用s_client -ssl3并查看 是否会产生会话。