[Sikkerhedsvejledning] Alibaba Cloud: Windows SMB/RDP fjernkommando-udførelse sårbarhedsreparationsvejledning

Kære brugere af Alibaba Cloud,

Den 14. april 2017 udsendte den udenlandske hackergruppe Shadow Brokers et fortroligt dokument fra NSA Equation-organisationen, som indeholder flere Windows-fjernudnyttelsesværktøjer, der kan dække 70% af verdens Windows-servere og kan føre til serverindtrængen.

En. Omfanget af påvirkning:

Kendte berørte versioner af Windows inkluderer, men er ikke begrænset til:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

To. Undersøgelsesmetode

De værktøjer, der denne gang blev eksponeret, bruger SMB-tjenester og RDP-tjenester til at invadere eksternt, og det er nødvendigt at bekræfte, om serveren har åbnet portene 137, 139, 445 og 3389.

Fejlfindingsmetoden er som følger:

Telnet-destinationsadressen 445 på den offentlige netværkscomputer, for eksempel: telnet [IP] 445

Tre. Afbødningsforanstaltninger

1. Microsoft har sendt udBemærk, det anbefales kraftigt, at du opdaterer den seneste patch;

Værktøjsnavn	Løsning
"EternalBlue"	Adresseret afMS17-010
"EmeraldThread"	Adresseret afMS10-061
"Evig Mester"	Adresseret afCVE-2017-0146&CVE-2017-0147
"ErraticGopher"	Adresseret før udgivelsen af Windows Vista
"EsikmoRoll"	Adresseret afMS14-068
"Evig Romantik"	Adresseret afMS17-010
"UddannetLærd"	Adresseret afMS09-050
"EternalSynergy"	Adresseret afMS17-010
"EclipsedWing"	Adresseret afMS08-067

2. På nuværende tidspunkt har Alibaba Cloud Console også udgivet et ét-klik omgåelsesværktøj for denne sårbarhed; hvis du ikke bruger porte 137, 139 eller 445 i din virksomhed, kan du logge ind på [ECS console] - [Security Group Management] - [Rule Configuration] for at bruge værktøjet til at omgå denne sårbarhedsrisiko med ét klik.


3. Brug sikkerhedsgruppens offentlige netværksadgangspolitik til at begrænse 3389 remote login source IP-adressen.

Alibaba Cloud Repair Løsning: