漏洞详情：
可以对目标主机进行"showmount -e"操作，此操作将泄露目标主机大量敏感信息，比如目录结构。更糟糕的是，如果访问控制不严的话，攻击者有可能直接访问到目标主机上的数据。
解决方法：
限制可以获取NFS输出列表的IP和用户，只允许需挂载的客户的使用
步骤：
编辑配置文件/etc/exprots
]#/data 17.59.192.0/24(rw,sync,no_root_squash) ###限制允许什么ip地址或IP段访问。
]# systemctl restart rpcbind
]# systemctl restart nfs
漏洞详情：
PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。 PHP < 5.5.38, 5.6.x < 5.6.24, 7.x < 7.0.9，ext/session/session.c函数未正确保留某个哈希数据结构，存在安全漏洞，远程攻击者可造成拒绝服务（释放后重利用）。
Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器。 httpd 2.2.0-2.2.32、httpd 2.4.0－2.4.25版本，第三方模块在身份验证阶段使用ap_get_basic_auth_pw()，会导致绕过身份验证要求。
解决方法：
目前厂商已发布新以修复漏洞，进行版本升级。
步骤：
php两种模式运行一种是基于httpd的模块中，另一种是运行php-fpm进程，我们一般仅在httpd模块中使用。
如果应用没有使用，就直接关闭服务。
]#ps -ef |grep httpd
]# systemctl stop httpd
]# systemctl disable httpd
如必须使用，如之前的nagios，就对找到对应的rpm包，rpm –Uvh *.rpm 进行更新，依赖的openssl也需进行升级。
漏洞详情：
Python是Python软件基金会的一套开源的、面向对象的程序设计语言，该语言具有可扩展、支持模块和包、支持多种平台等特点。CPython（又名Python）是一款用C语言实现的Python解释器。 CPython 2.7.13及之前的版本中的stringobject.c文件的‘PyString_DecodeEscape’函数存在整数溢出漏洞。攻击者可利用该漏洞造成基于堆的缓冲区溢出并可能执行任意代码。
解决方法：
目前厂商已发布新以修复漏洞，进行版本升级。
步骤：
python2.7.5升级2.7.14
解压包
]#tar xvf Python-2.7.14.tar.xz
编译安装
]#cd Python-2.7.14
]#./configure --prefix=/usr/local/
]#make && make install
将老版本更换
]#mv /usr/bin/python /usr/bin/python2.7.5
]#ln -s /usr/local/bin/python2.7 /usr/bin/python
修改配置，将下面两个文件中的开头#!/usr/bin/python改为#!/usr/bin/python2.7.5
]#vim /usr/bin/yum
]#vim /usr/libexec/urlgrabber-ext-down
漏洞详情：
Docker Remote API如配置不当可导致未授权访问，被攻击者恶意利用。 攻击者无需认证即可访问到Docker数据，可能导致敏感信息泄露，黑客也可以删除Docker上的数据。 攻击者可进一步利用Docker自身特性，直接访问宿主机上的敏感信息，或对敏感文件进行修改，最终完全控制服务器。
解决方法：
对2375端口做网络访问控制，如设置iptables策略仅允许指定的IP来访问Docker接口，此处只允许本机访问。
步骤：
编辑docker的service文件/usr/lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix://var/run/docker.sock
修改为
ExecStart=/usr/bin/dockerd -H unix://var/run/docker.sock
重启服务systemctl restart docker（生产环境注意先关闭运行的容器）
漏洞详情：
TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。 TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。
OpenSSH 是一组用于安全地访问远程计算机的连接工具。 OpenSSH 7.4之前版本在sshd实现中存在安全漏洞，成功利用后可使攻击者通过构造的NEWKEYS消息，导致受影响应用崩溃。
解决方法：
目前厂商已发布新以修复漏洞，进行版本升级。
步骤：
*20211028新增：
openssl 升级至1.0.2r
openssh 升级至8.6（适配centos7）
目前已有集成好的包（在厦门部门ftp的目录下 /operation工具/centos系统漏洞相关软件包），使用前提需要配置好yum源。
tar zxvf update_ssh8.6p1.tar.gz
cd update_ssh8.6p1
sh update_openssh_8_6.sh
等待脚本跑完，会打印出ssh当前版本，对应升级无误即完成
漏洞详情：
Redis因配置不当可以未授权访问。攻击者无需认证访问的内部数据，可导致敏感数据信息泄露，也可以恶意执行flushall来情况所有数据。在redis以root权限运行时可以写crontab来执行命令反弹shell
解决方法：
限制redis客户端访问，修改redis.conf文件
增加redis访问密码。
步骤：
限制客户端访问
只允许本机访问如下
]#vim redis.conf
Bind 127.0.0.1
增加redis访问密码
redis服务端修改
]#vim redis.conf
requirepass XXXX
预处理相关
1．更新到最新，因为有写的认证代码
2．]#vim redis.properties
redis.password=XXXX
漏洞详情：
由于memcached安全设计缺陷，客户端连接服务端无需认证就可以读取、修改服务器缓存内容。
解决方法：
目前使用iptables进行防护。
步骤：
开启防火墙 (iptables服务) service iptables start
没有的话就yum 安装 yum install iptables-services
然后在启动防火墙—建议清空默认配置，生产环境谨慎操作，如有安装docker，不能清空配置。
iptables -F
1．设置允许访问的IP段/IP—下面的例子是指定ip 访问 11211端口
]#iptables -A INPUT -p tcp -s x.0.4.0/24 --dport 11211 -j ACCEPT
]#iptables -A INPUT -p tcp -s 127.0.0.1 --dport 11211 -j ACCEPT
]#iptables -A INPUT -p tcp -s x.0.4.0/24 --dport 11211 -j ACCEPT
2．禁用所有IP 访问11211/11212
]#iptables -A INPUT -p tcp --dport 11211 -j REJECT
]#iptables -A INPUT -p tcp --dport 11212 -j REJECT
3．保存策略
]#service iptables save
4．查看防火墙规则
]#iptables -L -n
我们使用的mysql版本太低5.6.15，
解决方法：
使用rpm包升级至5.6.50
步骤：
1.备份配置文件/etc/my.cnf
cp /etc/my.cnf /etc/my.cnf.bak
2.备份数据，备份方法比较多，这里介绍两种，多备份总是没错的 ：
没有关闭服务，锁全表备份
FLUSH TABLES WITH READ LOCK；
mysql -u username -p password -
关闭mysql服务 直接拷贝数据文件目录
service mysql stop
cp -a /data/mysql /data/mysql_bak
3. 开始升级
把安装包考到服务器解压
tar xvf MySQL-5.6.50-1.el7.x86_64.rpm-bundle.tar -C /opt
cd /opt
rpm -Uvh *.rpm
4. 启动服务，验证是否正常
service mysql start
登录数据库验证，登录系统页面进行验证。
