近期境外黑客组织The ShadowBrokers公布了一批Windows高危漏洞及批量利用工具,利用该工具可致Windows机器被执行任意命令,引发包括主机蓝屏、被入侵删除数据等一系列严重后果。
微软官方已发布了漏洞补丁,但大量客户尚未修补,风险极大,同时安全求助量也急剧增大。为了更好的提升云主机的安全性,请您务必留意以下信息:
 

针对使用中的ECS服务器:

1、如果您业务上没有使用TCP[42、135、137、139、445],UDP[135、137、138、139]端口,请您尽快登陆【管理控制台】-【云服务器ECS】-【安全组】,点击【批量修复Windows SMB漏洞】按钮,来关闭相关的高危端口。

2、如果您业务上有使用SMB协议或以上端口,您可登陆【管理控制台】-【云服务器ECS】-【安全组】,点击【忽略修复】按钮忽略修复。考虑到风险,我们强烈建议您在忽略修复前,安装更新Windows最新补丁并重启系统使补丁生效。 

为保障云上客户的整体数据安全和服务可靠,在4月24日未执行修复或忽略修复的用户,阿里云将参考行业通用方案,在平台层面调整默认的安全组策略,屏蔽公网对云服务器TCP[42、135、137、139、445],UDP[135、137、138、139]端口的访问请求,这些端口受本次漏洞影响,极易导致服务器被入侵。如果您没有使用以上端口,此操作不会对您产生任何影响。

针对新购ECS服务器:

1、目前阿里云全网提供的windows镜像均已安装最新补丁。

2、在新购主机的时候,调整安全组策略,仅开通必要的协议和端口访问权限。

如果您有其他端口的公网访问需求,您可以通过【管理控制台】-【云服务器ECS】-【安全组】-【配置规则】自助增加对应端口的允许规则,具体操作您可参考:https://help.aliyun.com/document_detail/25471.html。

【漏洞公告】高危:Windows系统 SMB/RDP远程命令执行漏洞

漏洞编号:

暂无

漏洞名称:

Windows系统多个SMB\RDP远程命令执行漏洞官方评级:

高危

漏洞描述:

国外黑客组织Shadow Brokers发出了NSA方程式组织的机密文档,包含了多个Windows 远程漏洞利用工具,该工具包可以可以覆盖全球70%的Windows服务器,可以利用SMB、RDP服务成功入侵服务器。

漏洞利用条件和方式:

可以通过发布的工具远程代码执行成功利用该漏洞。

漏洞影响范围:

已知受影响的Windows版本包括但不限于:

Windows NT,Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

漏洞检测:

确定服务器对外开启了137、139、445、3389端口,排查方式如下:外网计算机上telnet 目标地址445,例如:telnet 114.114.114.114 445

Telnet客户端安装步骤

漏洞修复建议(或缓解措施):

• 微软已经发出通告 ,强烈建议您直接使用 Windows Update 更新最新补丁或手工下载以下补丁安装;

• 目前阿里云控制台发布了此漏洞的一键解决工具,针对公网入方向配置网络访问控制策略,如果您业务上没有使用137、139、445端口,您可登录【ECS控制台】-【安全组管理】-【规则配置】使用工具一键规避此漏洞风险;

• 同时建议您使用安全组公网入策略限制3389远程登录源IP地址,防止利用RDP服务端口入侵,降低安全风险。

注:请您务必确认137、139、445端口使用情况,根据业务需求配置访问控制。

什么是SMB服务?

SMB(Server Message Block)通信协议是微软(Microsoft)和英特尔(Intel)在1987年制定的协议,主要是作为Microsoft网络的通讯协议。SMB 是在会话层(session layer)和表示层(presentation layer)以及小部分应用层(application layer)的协议。SMB使用了NetBIOS的应用程序接口 (Application Program Interface,简称API)。SMB协议是基于TCP-NETBIOS下的,一般端口使用为139,445。

什么是RDP服务?

远程桌面连接组件是从Windows 2000 Server开始由微软公司提供的,一般使用3389作为服务端口,当某台计算机开启了远程桌面连接功能后我们就可以在网络的另一端控制这台计算机了,通过远程桌面功能我们可以实时的操作这台计算机,在上面安装软件,运行程序,所有的一切都好像是直接在该计算机上操作一样。但对外开放RDP协议端口存在着安全风险,例如:遭受黑客对服务器账号的暴力破解等,一旦破解成功,将控制服务器,因此强烈建立您对windows服务器进行加固 。

情报来源:

• https://zhuanlan.zhihu.com/p/26375989?utm_medium=social&utm_source=wechat_timeline&from=timeline&isappinstalled=0
• http://mp.weixin.qq.com/s/yPExtMfVbpNo-5S2Ymvz-w
• https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/?from=timeline&isappinstalled=0