如何确定弱密码套件（RC4，AES）是否真的被禁用？

-1

除了使用OpenSSL命令行来检查服务器不支持密码如何确定弱密码套件（RC4，AES）是否真的被禁用？

# openssl s_client -connect SERVERNAME:443 -cipher LOW:EXP

来源：https://conetrix.com/Blog/disabling-and-verifying-sslv2-and-weak-ciphers-in-iis

我不知道是否还有一些其他的方式来真正确保了密码，如果禁用，不再使用的服务器？

来源

2016-09-16 mopkaloppt

Stack Overflow是编程和开发问题的网站。这个问题似乎与题目无关，因为它不涉及编程或开发。请参阅帮助中心的[我可以询问哪些主题]（http://stackoverflow.com/help/on-topic）。也许[Unix和Linux堆栈交换]（http://unix.stackexchange.com/）或[信息安全堆栈交换]（http://security.stackexchange.com/）将是一个更好的地方要问。 – jww

尝试'-cipher'HIGH：！aNULL：！MD5：！RC4''。需要使用单引号来确保shell不能解释爆炸。另请参阅[SSL-Scan]（https://github.com/rbsec/sslscan）和SSL Lab的扫描仪[ssllabs-scan]（https://github.com/ssllabs/ssllabs-scan）等工具。 – jww

另一种方法是使用Nmap（您可能需要安装它）。它是网络发现和安全审计的实用工具。

的Nmap（我试过v5.51）提供了一些用于自动执行各种各样的网络任务的一组NSE scripts。

其中之一是ssl_enum_ciphers。基本上它和你描述的一样：它试图使用不同的密码打开与服务器的连接，并根据服务器的响应（接受/拒绝连接）创建一个报告。

样品运行可能是：nmap --script ssl-enum-ciphers -p${PORT} ${HOST}。

欲了解更多信息类型：nmap --help。

来源

2016-09-16 09:02:34 CristiFati

谢谢你的回答CristiFati :) – mopkaloppt

它解决了你的问题吗？ – CristiFati

它的确如此。与上面发布的openSSL命令相比，它看起来更加精确。我的意思是，当我尝试从一个密码套件切换到另一个密码套件时，nmap会知道并显示正在使用的密码的名称，而openSSL不显示我正在使用的确切密码。大多数情况下，它也没有显示密码套件的正确强度等级。 – mopkaloppt

如何确定弱密码套件（RC4，AES）是否真的被禁用？

回答

相关问题