[Tutorial de seguridad] Alibaba Cloud: Tutorial de reparación de vulnerabilidades para la ejecución remota de comandos SMB/RDP de Windows

Estimados usuarios de Alibaba Cloud,

El 14 de abril de 2017, el grupo extranjero de hackers Shadow Brokers emitió un documento confidencial de la organización NSA Equation, que contiene múltiples herramientas remotas de exploit de Windows, capaces de cubrir el 70% de los servidores Windows del mundo y provocar intrusión en servidores.

Uno. Alcance del impacto:

Las versiones afectadas conocidas de Windows incluyen, pero no se limitan a:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0；

Dos. Método de investigación

Las herramientas expuestas esta vez utilizan servicios SMB y RDP para invadir remotamente, y es necesario confirmar si el servidor ha abierto los puertos 137, 139, 445 y 3389.

El método de solución de problemas es el siguiente:

La dirección de destino de telnet 445 en el ordenador de red pública, por ejemplo: telnet [IP] 445

Tres. Medidas de mitigación

1. Microsoft ha enviadoAviso, se recomienda encarecidamente que actualices el último parche;

Nombre de la herramienta	Solución
"EternoBlue"	Dirigido porMS17-010
"Hilo Esmeralda"	Dirigido porMS10-061
"Campeón Eterno"	Dirigido porCVE-2017-0146&CVE-2017-0147
"Errático Topo"	Solucionado antes del lanzamiento de Windows Vista
"EsikmoRoll"	Dirigido porMS14-068
"Romance Eterno"	Dirigido porMS17-010
"EruditoEducado"	Dirigido porMS09-050
"Sinergia Eterna"	Dirigido porMS17-010
"EclipsedWing"	Dirigido porMS08-067

2. Actualmente, la consola Alibaba Cloud también ha lanzado una herramienta de elusión con un solo clic para esta vulnerabilidad; si no usas los puertos 137, 139 o 445 en tu empresa, puedes iniciar sesión en [ECS console] - [Security Group Management] - [Rule Configuration] para usar la herramienta y evitar este riesgo de vulnerabilidad con un solo clic.


3. Utilizar la política de acceso público a la red del grupo de seguridad para restringir la dirección IP de la fuente remota de inicio de sesión 3389.

Solución de reparación en la nube de Alibaba: