漏洞介紹：
TLS/SSL介紹：
SSL“安全套接層”協議，TLS“安全傳輸層”協議，都屬於是加密協議，在其網絡數據傳輸中起到保護隱私和數據的完整性。保證該網絡傳輸的信息不會被未經授權的元素攔截或修改，從而確保只有合法的發送者和接收者才能完全訪問並傳輸信息。
SSL3漏洞
2014年10月14號由Google發現的POODLE漏洞，全稱是Padding Oracle On Downloaded Legacy Encryption vulnerability，POODLE TLS（CVE-2014-8730）,SSL 3.0 POODLE攻擊信息泄露漏洞（CVE-2014-3566），POODLE漏洞只對CBC模式的明文進行了身份驗證，但是沒有對填充字節進行完整性驗證，攻擊者竊取采用SSL3.0版加密通信過程中的內容，對填充字節修改並且利用預置填充來恢復加密內容，以達到攻擊目的。
SSL2漏洞
2016年3月發現的針對TLS的新漏洞攻擊——DROWN（Decrypting RSA with Obsolete and Weakened eNcryption，CVE-2016-0800），也即利用過時的、弱化的一種RSA加密算法來解密破解TLS協議中被該算法加密的會話密鑰。 具體說來，DROWN漏洞可以利用過時的SSLv2協議來解密與之共享相同RSA私鑰的TLS協議所保護的流量。 DROWN攻擊依賴於SSLv2協議的設計缺陷以及知名的Bleichenbacher攻擊。
主要漏洞介紹：
OpenSSL CCS注入漏洞 （CVE-2014-0224）
在客戶端和服務端握手階段，OpenSSL協議不合時宜地接受密碼更換說明(ChangeCipherSpec :CCS)，而產生了該漏洞。攻擊者可以發起中間人攻擊並利用此漏洞篡改或監聽SSL加密傳輸的數據。
Drown跨協議攻擊TLS漏洞（CVE-2016-0800）
DROWN漏洞主要利用SSLv2協議的脆弱性對TLS協議進行攻擊。攻擊者通過中間人攻擊等手段截獲和解密用戶和服務器之間的加密通信，包括但不限於用戶名和密碼、信用卡號、電子郵件、即時消息，以及敏感文件。在一些常見的場景，攻擊者還可以冒充一個安全的網站攔截或篡改用戶看到的內容。。
OpenSSL FREAK Attack漏洞(CVE-2015-0204)
攻擊者可攔截受影響的客戶端與服務器之間的 HTTPS 連接，並強制其使用弱加密。客戶端會在一個全安全強度的RSA握手過程中接受使用弱安全強度的出口RSA密鑰，其中關鍵在於客戶端並沒有允許協商任何出口級別的RSA密碼套件。當 TLS/SSL 客戶端使用較弱的密鑰交換方法時，攻擊者可破解正在使用的密鑰。攻擊者使用破解的密鑰，可在通信期間解密竊取數據，甚至惡意操作敏感信息。
Heartbleed (CVE-2014-0160)
主要出現在openSSL處理TLS心跳的過程中，TLS心跳的流程是：A向B發送請求包，B收到包后讀取這個包的內容(data)，並返回一個包含有請求包內容的響應包。請求包的內容(data)中包含有包的類型(type)和數據長度等信息。
SSL POODLE漏洞(CVE-2014-3566) TLS POODLE(CVE-2014-8730)
該漏洞主要由於ssl3.0引起的，由於TLS填充是SSLv3的一個子集，因此可以使用針對TLS的POODLE攻擊，禁用禁止SSL3.0和TLS1.2即可，該漏洞只對CBC模式的明文進行了身份驗證，但是沒有對填充字節進行完整性驗證，攻擊者竊取采用SSL3.0版加密通信過程中的內容，對填充字節修改並且利用預置填充來恢復加密內容，發動中間人攻擊攔截用戶瀏覽器和HTTPS站點的流量，然后竊取用戶的敏感信息，如用戶認證的cookies信息、賬號信息等。
OpenSSL FREAK Attack漏洞(CVE-2015-0204)
攻擊者可攔截受影響的客戶端與服務器之間的 HTTPS 連接，並強制其使用弱加密。即客戶端會在一個全安全強度的RSA握手過程中接受使用弱安全強度的出口RSA密鑰，主要在於客戶端並沒有允許協商任何出口級別的RSA密碼套件。當 TLS/SSL 客戶端使用較弱的密鑰交換方法時，攻擊者可破解正在使用的密鑰。攻擊者使用破解的密鑰，可在通信期間解密竊取數據，甚至惡意操作敏感信息。
SSLv3降級加密協議Openssl Padding Oracle漏洞(CVE-2016-2107)
當瀏覽器進行HTTPS連接失敗的時候，將會嘗試使用舊的協議版本，這其中就包括SSL 3.0，於是加密協議由更加安全的協議（比如：TLS 1.0）降級成SSL 3.0。然后利用SSLv3中存在的漏洞，解密得到其數據包的明文信息，而這些明文信息極有可能是用戶的隱私數據，比如cookie，這樣攻擊者就可以拿到這些隱私數據，進行更深層次的攻擊。
SSL/TLS RC4算法漏洞(CVE-2015-2808)(CVE-2013-2566)
SSL/TLS內使用的RC4算法存在單字節偏差和在初始化階段沒有正確將狀態數據與關鍵字數據組合安全漏洞，可允許遠程攻擊者通過分析統計使用大量相同明文的大量會話，利用此漏洞恢復純文本信息。
TLS協議信息泄露漏洞(CVE-2012-4929)
因SSL壓縮造成的安全隱患，通過它可竊取啟用數據壓縮特性的HTTPS或SPDY協議傳輸的私密Web Cookie。在成功讀取身份驗證Cookie后，攻擊者可以實行會話劫持和發動進一步攻擊。
SSL/TLS LogJam中間人安全限制繞過漏洞 (CVE-2015-4000)
Logjam(CVE-2015-4000) 使用 Diffie-Hellman 密鑰交換協議的 TLS 連接很容易受到攻擊，尤其是DH密鑰中的公鑰強度小於1024bits。讓有漏洞的TLS連線降級為512-bit出口等級的密碼交換安全性，通過為兩組弱 Diffie-Hellman 參數預先計算 512 字節質數完成，然后再讀取或修改經由TLS加密連線傳輸的資料。於FREAK相似，但是freak攻擊的為rsa算法。
針對Windows Server網上基本有兩種方式，一種直覺修改注冊表，另一種使用IISCrypto工具直接修改。
https說明:
SSL/TLS 系列中有五種協議：SSL v2，SSL v3，TLS v1.0，TLS v1.1和TLS v1.2：
SSL v2 是不安全的，不能使用。
當與 HTTP（POODLE 攻擊）一起使用時，SSL v3 是不安全的，當與其他協議一起使用時，SSL v3 是弱的。它也是過時的，不應該被使用。
TLS v1.0 也是不應該使用的傳統協議，但在實踐中通常仍然是必需的。其主要弱點（BEAST）在現代瀏覽器中得到緩解，但其他問題仍然存在。
TLS v1.1 和 v1.2 都沒有已知的安全問題，只有 v1.2 提供了現代的加密算法。
TLS v1.2 應該是您的主要協議，因為它是唯一提供現代認證加密（也稱為 AEAD）的版本。如果您今天不支持 TLS v1.2，則缺乏安全性。
網址檢測：
http://s.tool.chinaz.com/https?url=www.apizl.com
https://myssl.com/www.apizl.com:443?status=success
不安全請求檢查報告:
window服務器禁用默認的ssl2.0和ssl3.0只啟用啟用tls1.2保證安全
工具檢測：
testssl 下載地址：git clone https://github.com/drwetter/testssl.sh.git
sslscan (kali自帶)
nmap 下載地址：https://nmap.org/download.html
【IIS系列修復方法】
方法一：
1.IISCrypto工具
官方網站地址：https://www.nartac.com/Products/IISCrypto/
下載地址：https://www.nartac.com/Products/IISCrypto/Download
window服務器禁用默認的ssl2.0和ssl3.0只啟用啟用tls1.2保證安全
IISCrypto
window服務器禁用默認的ssl2.0和ssl3.0只啟用啟用tls1.2保證安全
踩坑記錄:
1）注意如果是 Win2008R2 服務器修改TLS1.0 TLS1.1 關閉，RDP會遠程不上，如果是08建議只關閉sslv3！
2）Win2008 7600 非SP1版本需要升級為SP1，08系統會有如下提示：
3） 使用這個工具需要.net4.x的支持
PS: 如果不確定打了這個補丁對你系統的影響尤其是對RDP的影響，建議首先安裝一個能遠程的替代工具，如Radmin等相關其他遠程工具。（尤其是生產環境！！！）
應用設置后就完成了tls1.2的修改！重啟就會訪問檢查就會發現只啟用了1.2.其他都已經關閉！
修改完成后檢查報告：
window服務器禁用默認的ssl2.0和ssl3.0只啟用啟用tls1.2保證安全
方法二：
2.以下使用reg自動來修改注冊表懶人必備！ 注冊表方式沒有修改成功過。 推薦使用工具！
我們可以新建或使用reg修改
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault "=dword:00000000
"Enabled"=dword:00000001
window服務器禁用默認的ssl2.0和ssl3.0只啟用啟用tls1.2保證安全
打開reg執行后就會自動修改注冊表相關配置。
具體怎么編寫看reg編寫規則。
window服務器禁用默認的ssl2.0和ssl3.0只啟用啟用tls1.2保證安全
擴展了解：【Apache系列修復方法】
1.修改配置文件/etc/apache2/mods-availabl/ssl.conf把SSLProtocol一行改成如下：
SSLProtocol all -SSLv2 -SSLv3
重新啟動apache服務/etc/init.d/apache2 restart,然后復測。
參考資料：
https://blog.csdn.net/moxun2011/article/details/80416377
https://www.bbsmax.com/A/D8540oQV5E/
https://blog.csdn.net/csacs/article/details/90716413
https://www.jianshu.com/p/0d3a0cf99efc