运维如何排查SSL漏洞

运维排查 SSL/TLS 漏洞，通常分为发现漏洞 → 定位原因 → 验证修复 → 长期监控几个阶段。下面给你一套比较系统、可落地的排查思路。

一、先确认“SSL漏洞”指什么

常见 SSL/TLS 问题包括：

• 使用了不安全协议：SSLv2 / SSLv3 / TLS 1.0 / TLS 1.1
• 使用了弱加密套件（如 RC4、DES、3DES、EXPORT）
• 证书问题：过期、域名不匹配、自签名、链不完整
• 配置问题：未启用 HSTS、支持重协商、允许降级
• 已知漏洞：POODLE、BEAST、Heartbleed、ROBOT、CVE 相关

二、快速扫描（发现漏洞）

1. 在线工具（最快）

• https://www.ssllabs.com/ssltest/
• https://myssl.com / https://certificate.revocationcheck.com

看：

• 支持的 TLS 版本
• 加密套件强度
• 证书链
• 协议漏洞提示

2. 命令行工具

# 测试 TLS 版本
openssl s_client -connect example.com:443 -tls1
openssl s_client -connect example.com:443 -tls1_1

# 查看证书
openssl s_client -connect example.com:443 | openssl x509 -noout -text

# 枚举支持的加密套件
nmap --script ssl-enum-ciphers -p 443 example.com

三、定位问题来源（服务端配置）

Web 服务器

Nginx

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;

Apache

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite HIGH:!aNULL:!MD5

Tomcat（server.xml）

sslEnabledProtocols="TLSv1.2,TLSv1.3"
ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,..."

负载均衡 / 网关

• SLB / Nginx / Envoy / Kubernetes Ingress
• 检查是否前端 HTTPS，后端 HTTP
• 检查是否统一 TLS 策略

四、证书专项排查

# 是否过期
openssl x509 -enddate -noout -in cert.pem

# 域名是否匹配
openssl x509 -text -in cert.pem | grep DNS

# 证书链是否完整
openssl s_client -connect example.com:443 -showcerts

常见问题：

• 中间证书缺失
• 用了内网 CA 但客户端不信任
• 多域名/泛域名配置错误

五、验证修复效果

修复后必须复测：

• SSL Labs 评分 ≥ B（建议 A）
• 不支持 TLS < 1.2
• 无弱套件
• 证书可信且未过期

六、长期运维建议

• 启用 自动化证书续签（Certbot / acme.sh）
• 统一 TLS 基线（公司级 nginx 模板）
• 定期漏洞扫描（月度）
• 监控证书到期（Prometheus + blackbox）

如果你愿意，可以告诉我：

• 用的什么组件（Nginx / Apache / Tomcat / K8s）
• 是公网还是内网
• 具体报了什么漏洞名（如 POODLE）

我可以直接给你对应配置文件和修复命令。