如何确保弱密码套件（RC4，AES）真的被禁用？

Question

除了使用openSSL命令行检查服务器是否支持密码

之外

# openssl s_client -connect SERVERNAME:443 -cipher LOW:EXP

源：https://conetrix.com/Blog/disabling-and-verifying-sslv2-and-weak-ciphers-in-iis

我想知道是否还有其他方法可以确保服务器不再使用已禁用的密码？

Answer 1

另一种方法是使用Nmap（您可能需要安装它）。它是用于网络发现和安全审核的实用程序。

Nmap （我试过 v5.51 ）附带了一组NSE scripts，旨在自动执行各种网络任务。

其中一个是ssl_enum_ciphers。基本上它与您描述的内容完全相同：它尝试使用不同的密码打开与服务器的连接，并根据服务器的响应（接受/拒绝连接）创建报告。

示例运行可以是：nmap --script ssl-enum-ciphers -p${PORT} ${HOST}。

有关详细信息，请输入：nmap --help。