Exchange Server服务漏洞怎么查询

2021年ProxyLogon爆发时，服务很多管理员是漏洞看了新闻才知道自己中招的。等他们登进服务器，查询邮件已经被删了几个月。服务这种事不该再发生——漏洞查询不是漏洞等CVE公布后再动手，而是查询常态化动作。但现实是服务，多数人连自己装的漏洞Exchange版本号都说不清。

最直接的查询查询入口是微软官方的安全更新指南页面。打开那个页面，服务输入你的漏洞Exchange版本号，比如2016 CU23或2019 CU12，查询系统会列出所有已发布的服务安全补丁。注意，漏洞这里只显示补丁状态，查询不显示漏洞详情。你得对照CVE编号再去查具体影响范围。有个坑：微软有时会合并多个CVE到一个更新包里，单独查某个编号可能搜不到，这时要用KB编号反查。

命令行工具更靠谱。PowerShell里跑一条Get-ExchangeServer | Format-List Name, AdminDisplayVersion，能拿到精确的版本号。有了这个数字，再去对照微软的“Exchange Server 版本号与发布日期的对应表”——这张表藏在TechNet的角落里，但值得存书签。比如版本号15.2.986.5对应的是2019 CU12，补丁级别一目了然。别小看这步，很多人栽在“以为升过级”上——实际上他们只装了CU，没装之后的SU。

光看版本不够。真正的漏洞检测要落地到具体CVE。用Get-ServerComponentState检查组件状态，能发现Exchange是否处于“已隔离”或“已禁用”状态——这些异常往往是被攻击者篡改后的痕迹。更直接的办法是扫描IIS日志，查可疑的autodiscover.json或powershell路径访问。ProxyLogon的利用特征就是这些路径上突然涌进大量POST请求，时间集中在凌晨。我见过一个案例，攻击者连试了200多次，日志里全是401错误，但管理员从没看过。

第三方工具能补盲。微软自家的Safety Scanner只能查系统级漏洞，对Exchange不够精细。GitHub上有开源的Exchange-Hunter脚本，专门比对当前版本和已知漏洞列表，输出风险报告。但用之前检查代码——这些脚本质量参差不齐，有些甚至自带后门。我一般用Nuclei加Exchange模板，跑一遍不到五分钟，能覆盖大部分公开POC的利用路径。

还有条捷径容易被忽略：微软的“Exchange Server 健康检查”脚本。它不只查漏洞，还检查配置错误、权限问题、可疑文件。跑完会生成一个HTML报告，里面按严重程度排序。这个脚本官方维护，但更新频率不稳定——有时漏洞公开两周了，脚本还没覆盖。所以别只信一个来源。CISA的已知被利用漏洞目录（KEV）也值得每周翻一次，它标了哪些漏洞正在被野外利用，优先级比单纯看CVSS分数高得多。

最后提醒一句：查询漏洞只是第一步。查到CVE-2023-23397这种能直接打域管的漏洞后，别光补丁就完事。检查是否有邮件触发了Outlook的提醒音——那个漏洞利用的是提醒功能的路径遍历。补丁打了，但历史邮件里可能还藏着恶意触发文件。用Search-Mailbox扫一遍带.msg附件的邮件，才算收尾。

工具用熟了，整个流程十分钟内能跑完。但多数人连这十分钟都懒得花——直到被勒索信贴在登录页面上。别当那种人。