[Säkerhetshandledning] Alibaba Cloud: Windows SMB/RDP fjärrkommando-exekveringstutorial för sårbarhetsreparation

Kära Alibaba Cloud-användare,

Den 14 april 2017 utfärdade den utländska hackergruppen Shadow Brokers ett konfidentiellt dokument från NSA Equation-organisationen, som innehåller flera Windows-verktyg för fjärrutnyttjande, vilka kan täcka 70 % av världens Windows-servrar och kan leda till serverintrång.

Ett. Omfattning av påverkan:

Kända påverkade versioner av Windows inkluderar, men är inte begränsade till:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

Två. Undersökningsmetod

De verktyg som exponerats denna gång använder SMB-tjänster och RDP-tjänster för att fjärrinvadera, och det är nödvändigt att bekräfta om servern har öppnat portarna 137, 139, 445 och 3389.

Felsökningsmetoden är följande:

Telnet-destinationsadressen 445 på den publika nätverksdatorn, till exempel: telnet [IP] 445

Tre. Åtgärder för att mildra

1. Microsoft har skickat utMeddelande, det rekommenderas starkt att du uppdaterar den senaste patchen;

Verktygsnamn	Lösning
"EternalBlue"	Adresserad avMS17-010
"EmeraldThread"	Adresserad avMS10-061
"Evig Mästare"	Adresserad avCVE-2017-0146&CVE-2017-0147
"ErraticGopher"	Åtgärdat före lanseringen av Windows Vista
"EsikmoRoll"	Adresserad avMS14-068
"Evig romans"	Adresserad avMS17-010
"UtbildadScholar"	Adresserad avMS09-050
"EternalSynergy"	Adresserad avMS17-010
"EclipsedWing"	Adresserad avMS08-067

2. För närvarande har Alibaba Cloud Console också släppt ett ett-klicks kringgåendeverktyg för denna sårbarhet; om du inte använder portarna 137, 139 eller 445 i ditt företag kan du logga in på [ECS-konsolen] - [Säkerhetsgruppshantering] - [Regelkonfiguration] för att använda verktyget för att kringgå denna sårbarhetsrisk med ett klick.


3. Använd säkerhetsgruppens policy för offentlig nätverksåtkomst för att begränsa 3389:s käll-IP-adress för fjärrinloggning.

Alibaba molnreparationslösning: