[Tutorial bezpieczeństwa] Alibaba Cloud: Poradnik naprawy podatności na zdalne wykonywanie poleceń Windows SMB/RDP

Drodzy użytkownicy Alibaba Cloud,

14 kwietnia 2017 roku zagraniczna grupa hakerska Shadow Brokers wydała poufny dokument od organizacji NSA Equation, który zawiera wiele narzędzi do zdalnego exploitowania Windows, które mogą objąć 70% światowych serwerów Windows i prowadzić do włamań do serwerów.

Jeden. Zakres wpływu:

Znane dotknięte wersje Windows obejmują między innymi:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

Dwa. Metoda badania

Tym razem narzędzia wykorzystują usługi SMB i RDP do zdalnej inwazji, dlatego konieczne jest potwierdzenie, czy serwer otworzył porty 137, 139, 445 i 3389.

Metoda rozwiązywania problemów wygląda następująco:

Adres docelowy telnet 445 na komputerze sieci publicznej, na przykład: telnet [IP] 445

Trzy. Środki łagodzące

1. Microsoft wysłałUwaga, zdecydowanie zaleca się aktualizację najnowszej poprawki;

Nazwa narzędzia	Rozwiązanie
"EternalBlue"	Adresowane przezMS17-010
"SzmaragdNici"	Adresowane przezMS10-061
"WiecznyMistrz"	Adresowane przezCVE-2017-0146&CVE-2017-0147
"ErraticGopher"	Rozwiązane przed wydaniem Windows Vista
"EsikmoRoll"	Adresowane przezMS14-068
"WiecznyRomans"	Adresowane przezMS17-010
"WykształconyUczony"	Adresowane przezMS09-050
"EternalSynergy"	Adresowane przezMS17-010
"ZaćmioneSkrzydło"	Adresowane przezMS08-067

2. Obecnie konsola Alibaba Cloud udostępniła również narzędzie do obejścia tej luki jednym kliknięciem; jeśli nie korzystasz z portów 137, 139 lub 445 w swojej firmie, możesz zalogować się do [ECS console] - [Security Group Management] - [Rule Configuration], aby użyć narzędzia do obejścia tego ryzyka jednym kliknięciem.


3. Skorzystaj z polityki dostępu do sieci publicznej grupy zabezpieczeń, aby ograniczyć źródłowy adres IP do zdalnego logowania 3389.

Rozwiązanie naprawy chmury Alibaba: