[Biztonsági oktató] Alibaba Cloud: Windows SMB/RDP távoli parancsvégrehajtási sebezhetőségi javítási útmutató

Kedves Alibaba Cloud felhasználók,

2017. április 14-én a külföldi hackercsoport, a Shadow Brokers kiadott egy bizalmas dokumentumot az NSA Equation szervezettől, amely több Windows távoli exploit eszközt tartalmaz, amelyek a világ Windows szervereinek 70%-át lefedik, és szerverbehatoláshoz vezethetnek.

Egy. A hatás terjedelme:

Az ismert érintett Windows verziók közé tartoznak, de nem kizárólagosan:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

Kettő. Vizsgálati módszer

Az ezúttal feltárt eszközök SMB és RDP szolgáltatásokat használnak távolról történő invázióra, és szükséges ellenőrizni, hogy a szerver megnyitotta-e a 137, 139, 445 és 3389 portokat.

A hibakeresési módszer a következő:

A telnet célcím 445 a nyilvános hálózati számítógépen, például: telnet [IP] 445

Három. Enyhítő intézkedések

1. A Microsoft elküldteÉrtesítés, erősen ajánlott frissíteni a legfrissebb javítást;

Eszköz neve	Megoldás
"EternalBlue"	SzóltMS17-010
"SmaragdSzál"	SzóltMS10-061
"EternalChampion"	SzóltCVE-2017-0146&CVE-2017-0147
"ErraticGopher"	A Windows Vista megjelenése előtt kezelt
"EsikmoRoll"	SzóltMS14-068
"ÖrökRomantika"	SzóltMS17-010
"Tanult"	SzóltMS09-050
"ÖrökSzinergia"	SzóltMS17-010
"EclipsedWing"	SzóltMS08-067

2. Jelenleg az Alibaba Cloud konzol egy egy kattintásos megkerülő eszközt is adott ki erre a sebezhetőségre: ha nem használod a 137-es, 139- vagy 445-ös portokat az üzletedben, bejelentkezhetsz az [ECS konzolba] - [Biztonsági csoportkezelés] - [Szabálybeállítás] oldalra, hogy egy kattintással megkerüld ezt a sebezhetőségi kockázatot.


3. Használd a biztonsági csoport nyilvános hálózati hozzáférési szabályzatát a 3389 távoli bejelentkezési forrás IP-cím korlátozására.

Alibaba felhőjavítási megoldás: