[特殊字符]️ 快速检测与修复TLS 1.0/1.1漏洞指南

一、如何检测是否有此漏洞

使用OpenSSL检查TLS版本支持

通过openssl s_client命令测试目标端口是否支持不安全的TLS版本（如TLS 1.0和TLS 1.1）。

检查步骤

1. 打开终端或命令提示符。
2. 输入以下命令分别测试TLS 1.0和TLS 1.1的支持情况：

# 检查TLS 1.0支持情况
openssl s_client -connect [目标IP]:[目标端口] -tls1# 检查TLS 1.1支持情况
openssl s_client -connect [目标IP]:[目标端口] -tls1_1

• 如果命令返回错误信息（例如no protocols available），表示服务器拒绝了该TLS版本，说明TLS 1.0或TLS 1.1已被禁用。
• 如果命令成功连接并显示握手信息，则表明服务端仍然接受这些旧版协议，存在安全隐患。

二、如何通过修改注册表修复此漏洞（适用于Windows Server）

如果你无法直接修改应用程序代码，可以通过修改系统注册表来强制禁用TLS 1.0和TLS 1.1，并启用TLS 1.2。

修改注册表步骤

1. 打开注册表编辑器：

   • 按 Win + R 键，输入 regedit，然后按回车键。

2. 导航到以下路径：

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
   

3. 禁用TLS 1.0：

   • 在Protocols下找到或创建TLS 1.0项。
   • 在TLS 1.0下创建Server子项。
   • 在Server子项中创建一个名为Enabled的DWORD值，并将其设置为0。

4. 禁用TLS 1.1：

   • 类似地，在Protocols下找到或创建TLS 1.1项。
   • 创建Server子项，并在其中添加Enabled DWORD值，设置为0。

5. 确保TLS 1.2已启用：

   • 如果需要，可以在Protocols下找到或创建TLS 1.2项。
   • 创建Server子项，并在其中添加Enabled DWORD值，设置为1（通常默认已启用）。

6. 重启服务器：

   • 修改完成后，为了使更改生效，请重启服务器或相关服务。

验证修复效果

再次运行之前的OpenSSL命令，确认只有TLS 1.2和TLS 1.3能够成功连接，而TLS 1.0和TLS 1.1无法连接。

# 检查TLS 1.0支持情况（应失败）
openssl s_client -connect [目标IP]:[目标端口] -tls1# 检查TLS 1.1支持情况（应失败）
openssl s_client -connect [目标IP]:[目标端口] -tls1_1# 检查TLS 1.2支持情况（应成功）
openssl s_client -connect [目标IP]:[目标端口] -tls1_2# 检查TLS 1.3支持情况（应成功）
openssl s_client -connect [目标IP]:[目标端口] -tls1_3