[Saugos pamoka] "Alibaba Cloud": "Windows SMB/RDP" nuotolinio komandų vykdymo pažeidžiamumo taisymo pamoka

Mieli "Alibaba Cloud" vartotojai,

2017 m. balandžio 14 d. užsienio įsilaužėlių grupė "Shadow Brokers" išleido konfidencialų NSA Equation organizacijos dokumentą, kuriame yra keli "Windows" nuotolinio išnaudojimo įrankiai, kurie gali apimti 70% pasaulio "Windows" serverių ir gali sukelti serverio įsilaužimą.

Vienas. Poveikio apimtis:

Žinomos paveiktos "Windows" versijos apima, bet jomis neapsiriboja:

"Windows NT", "Windows 2000", "Windows XP", "Windows 2003", "Windows Vista", "Windows 7", "Windows 8", "Windows 2008", "Windows 2008 R2", "Windows Server 2012 SP0";

Du. Tyrimo metodas

Šį kartą atskleisti įrankiai nuotoliniu būdu naudoja SMB paslaugas ir KPP paslaugas, todėl būtina patvirtinti, ar serveris atidarė 137, 139, 445 ir 3389 prievadus.

Trikčių šalinimo metodas yra toks:

Telnet paskirties adresas 445 viešojo tinklo kompiuteryje, pvz.: telnet [IP] 445

Trys. Poveikio mažinimo priemonės

1. "Microsoft" išsiuntėPastaba, labai rekomenduojama atnaujinti naujausią pataisą;

Įrankio pavadinimas	Sprendimas
"Amžina mėlyna"	KreipėsiMS17-010
"Smaragdo siūlas"	KreipėsiMS10-061
"Amžinasis čempionas"	KreipėsiCVE-2017-0146&CVE-2017-0147
"Nepastovus goferis"	Išspręsta prieš išleidžiant "Windows Vista"
"EsikmoRoll"	KreipėsiMS14-068
"Amžinoji romantika"	KreipėsiMS17-010
"Išsilavinęs mokslininkas"	KreipėsiMS09-050
"Amžina sinergija"	KreipėsiMS17-010
"Užtemdytas sparnas"	KreipėsiMS08-067

2. Šiuo metu "Alibaba Cloud Console" taip pat išleido vieno paspaudimo apėjimo įrankį šiam pažeidžiamumui, jei savo versle nenaudojate 137, 139 ar 445 prievadų, galite prisijungti prie [ECS konsolės] - [Saugos grupės valdymas] - [Taisyklių konfigūracija] ir naudoti įrankį, kad vienu paspaudimu apeitumėte šią pažeidžiamumo riziką.


3. Naudokite saugos grupės viešojo tinklo prieigos politiką, kad apribotumėte 3389 nuotolinio prisijungimo šaltinio IP adresą.

"Alibaba" debesies taisymo sprendimas: