MicrosoftWindowsSMB远程代码执行漏洞
Microsoft Windows SMB 远程代码执行漏洞
2017年4月14日，一个名为“Shadow Brokers”的码执黑客组织扔出了一堆文件，里面有个叫EternalBlue（永恒之蓝）的行漏工具。这东西不是程代PPT漏洞，它直接利用Windows SMB协议里的码执一个缓冲区溢出缺陷，能让攻击者在目标机器上以系统权限执行任意代码。行漏一个月后，程代WannaCry勒索病毒拿着这个武器横扫全球，码执英国NHS的行漏医院系统瘫痪，雷诺汽车工厂停产，程代国内不少高校的码执实验室电脑集体中招。那个周末，行漏很多运维人员是程代从被窝里爬起来打补丁的。
SMB，码执全称Server Message Block，行漏是Windows里负责文件共享、打印机共享、进程间通信的老协议。它默认监听445/tcp端口，在企业内网里几乎无处不在。问题出在SMBv1版本处理特定请求时，没有正确校验数据包长度。攻击者可以构造一个畸形的Trans2请求，把超出缓冲区大小的数据塞进去，覆盖掉内核里的函数指针。一旦执行流被劫持，剩下的就是拿SYSTEM权限为所欲为。
NTSTATUS SrvSmbTrans2(PVOID Buffer, ULONG Length) {
UCHAR kernelBuffer[4096];
// 没有检查Length是否超过sizeof(kernelBuffer)
RtlCopyMemory(kernelBuffer, Buffer, Length); // 溢出点
return STATUS_SUCCESS;
}
微软其实在2017年3月14日就发布了补丁MS17-010，评级为“严重”。但现实是，很多内网机器压根没装——有些是盗版系统关掉了自动更新，有些是工业控制设备不敢随便重启，还有些纯粹是管理员忘了。EternalBlue的利用代码公开后，脚本小子们拿着Metasploit的模块就能扫一片B段。我见过一个案例，某中型企业的财务服务器因为没打补丁，被植入挖矿程序，CPU常年跑满，财务软件卡到没法用，IT部门查了三天才发现是SMB漏洞惹的祸。
防御这事，说复杂也复杂，说简单就三条。第一，打补丁。MS17-010的补丁包不大，重启一次就能解决大部分问题。第二，禁用SMBv1。这协议是上世纪80年代的设计，早该淘汰了。在PowerShell里跑一行Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol，重启生效。第三，封端口。如果业务不需要跨网段共享，直接在边界防火墙上把445和139端口堵死。别信什么“内网安全”，WannaCry就是从内网一台没打补丁的机器开始，横向移动感染整个子网的。
有人觉得这漏洞都过去这么多年了，还提它干嘛。但你去Shodan上搜一下port:445，国内暴露在公网上的SMB服务还有几十万个。很多是老旧设备、监控NVR、甚至某些国产NAS的默认配置。攻击工具早就集成到自动化扫描器里了，一个IP一个IP地试，总有人中招。上个月还有个客户打电话来，说服务器CPU莫名飙高，我远程一看，svchost.exe里跑着个XMRig矿工，入口就是没打补丁的SMB。
说到底，SMB漏洞不是技术多高深，而是运维习惯的问题。补丁管理、协议版本控制、网络隔离，这些基本功做到位，EternalBlue就只能是个历史名词。但偏偏基本功最容易被忽略。每次看到新出的勒索病毒还在用这个老漏洞当跳板，我就觉得，有些教训真是得反复讲、年年讲。
参考：微软安全公告 MS17-010 / CVE-2017-0144。文中代码为原理示意，非真实利用代码。补丁下载地址：https://docs.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010
(责任编辑：焦点)
