Tovuti inaonyesha cheti kisicho sahihi? Tafuta msikilizaji

Kusakinisha programu ya VPN kwenye mwenyeji wa wavuti kunaweza kupanga upya huduma, lakini cheti kisichotarajiwa hakithibitishi kuwa faili za Apache ziliandikwa upya. Kitu fulani kiliwasilisha cheti hicho kwa kivinjari chako, na kazi ya kwanza ni kukitaja. Hadi msikilizaji na mwenyeji pepe watambuliwe, kila ukarabati ni dhahania inayotumika kwenye tabaka lisilo sahihi. Ukaguzi wote hapa chini ni wa kusoma tu.

Hakuna kinachowashwa upya, kuondolewa au kuandikwa juu wakati unakusanya ukweli unaoamua kesi.

Soma cheti ambacho kivinjari kilipokea kweli

Rekodi jina la mwenyeji, anwani iliyotatuliwa kwa kila familia, mlango na maelezo ya cheti ambayo kivinjari kililalamikia. Jina linalotatuliwa kwa rekodi ya A na AAAA linaweza kufikia mbele mbili tofauti, na moja tu kati yao inaweza kuwa mwenyeji ambao una ufikiaji wa shell. Kivinjari kilicho nyuma ya proksi kinaweza kuchukua njia ya tatu tena. Kukisia ni kipi kilizalisha onyo kunapoteza uchunguzi pekee ulio nao.

Kisha zalisha tena makubaliano ya mkono kutoka kwa mashine iliyo kwenye njia hiyo hiyo, ukitaja anwani waziwazi na kutuma jina la seva lililokusudiwa ili jibu lionyeshe tovuti badala ya mwenyeji chaguo-msingi.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Linganisha majina mbadala ya somo na alama ya kidole na cheti unachotarajia, sio na mtoaji unayemfahamu. Kuunganisha kwenye anwani tupu bila jina la seva kunaweza kuchagua cheti chaguo-msingi, ambacho basi kinaonekana kama faili isiyo sahihi wakati kwa kweli swali si sahihi.

Tambua mchakato uliofungwa kwenye mlango huo

Kwenye mwenyeji anayepaswa kupokea muunganisho, orodhesha wasikilizaji na uandike anwani ya kufunga, familia ya anwani na mmiliki wa mchakato. Huduma iliyofungwa kwenye anwani ya mzunguko wa nyuma si sawa na ile iliyofungwa kwenye violesura vyote, na uchapishaji wa kontena unaweza kuweka msikilizaji wa umma mahali pengine kabisa.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ikiwa TLS inamalizwa na kusawazisha mzigo au proksi iliyo mbele, simama hapa na ukague mbele hiyo badala yake. Kipengele cha Apache kilicho nyuma yake kinaweza kisiwasilishe cheti kwa kivinjari cha umma kamwe, kwa hivyo kuhariri usanidi wake hakubadilishi chochote kile kivinjari kinachokiona. Mwonekano wa soketi na makubaliano ya mkono ya nje lazima yaeleze njia moja, na ndivyo ulinganishaji huu unavyothibitisha.

Linganisha mwenyeji pepe kabla ya faili

Wakati Apache ndiye anayemaliza, muulize ni mwenyeji pepe gani anashinda kwa anwani na jina hilo. Amri ya udhibiti huchapisha mpangilio halisi, ikiwa ni pamoja na kikundi kinacholingana na kila soketi, majina ya seva yaliyotangazwa na mwenyeji anayechukuliwa kama chaguo-msingi. Kuhariri faili ya cheti bila jibu hilo ndiyo njia tovuti isiyo sahihi inavyoishia kuhudumiwa kutoka faili sahihi.

sudo apachectl -S

Maswali Yanayoulizwa Mara kwa Mara ya SSL ya Apache yanafafanua jinsi dalili ya jina la seva inavyochagua cheti. Kichwa cha Host cha HTTP hufika baada ya makubaliano ya mkono na hakiwezi kubadilisha kwa nyuma kile kilichokwisha wasilishwa, kwa hivyo jina lisilolingana au lisilopo hurudi kwa mwenyeji chaguo-msingi.

Mwenyeji pepe aliyepewa jina na kosa la kuandika katika ServerAlias huzalisha dalili hii hasa, na ndivyo pia faili ya pili ya usanidi inayopakia kwanza mwenyeji anayekamata kila kitu. Zote mbili zinaonekana katika orodha hiyo ya mpangilio.

Thibitisha ukarabati kwenye kila njia unayodai

Baada ya mabadiliko yaliyoidhinishwa, rudia ukaguzi maalum wa jina la mwenyeji kwa kila familia ya anwani na umalizie na uthibitishaji wa kawaida wa kivinjari badala ya bendera ya kupita kando. Hifadhi njia tofauti ya utawala kabla ya kugusa mipangilio ya pamoja ya msikilizaji, kwa sababu kosa hapo huondoa ufikiaji ambao ungetumia kuubatilisha. Kisha andika ni msikilizaji gani alijibu, ni mwenyeji pepe gani alilingana na ni cheti gani kilihudumiwa kabla na baada.

Kuondoa kifurushi kunaweza kubadilisha mpangilio na kuacha kutokulingana kwa awali bila maelezo, ndiyo sababu rekodi hiyo huishi zaidi ya ukarabati.

Unachotaka ni tovuti iliyokusudiwa kwenye kiingilio kilichokusudiwa. Cheti tofauti baada ya huduma isiyohusiana kutoweka si matokeo hayo, hata kivinjari kinapoacha kulalamika.