【漏洞公告】高危:Windows系统 SMB/RDP远程命令执行漏洞

2017年4月14日，国外黑客组织Shadow Brokers发出了NSA方程式组织的机密文档，包含了多个Windows 远程漏洞利用工具，该工具包可以可以覆盖全球70%的Windows服务器，为了确保您在阿里云上的业务安全，请您关注，具体漏洞详情如下:

---

漏洞编号:

暂无

漏洞名称:

Windows系统多个SMB\RDP远程命令执行漏洞官方评级: 高危 漏洞描述: 国外黑客组织Shadow Brokers发出了NSA方程式组织的机密文档，包含了多个Windows 远程漏洞利用工具，该工具包可以可以覆盖全球70%的Windows服务器，可以利用SMB、RDP服务成功入侵服务器。

漏洞利用条件和方式:

可以通过发布的工具远程代码执行成功利用该漏洞。

漏洞影响范围:

已知受影响的Windows版本包括但不限于：

Windows NT，Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0；

漏洞检测:

确定服务器对外开启了137、139、445、3389端口，排查方式如下:外网计算机上telnet 目标地址445，例如：telnet 114.114.114.114 445

Telnet命令安装:

1. 1. 打开“开始”---”运行” ，或者直接键盘 windows键+R 调出运行，输入 appwiz.cpl (打开添加删除程序管理窗口）
2. 2.出现的（程序和功能)菜单啦，点击“打开或关闭windows功能，同样随后出现的“打开或关闭windows功能”列表里面，找到“telnet客户端”把前面的勾勾上，然后点击确定。

漏洞修复建议(或缓解措施):

• 微软已经发出通告 ，强烈建议您更新最新补丁；

使用安全组公网入策略限制3389远程登录源IP地

注:请您务必确认137、139、445端口使用情况，根据业务需求配置访问控制。

什么是SMB服务？

SMB（Server Message Block）通信协议是微软（Microsoft）和英特尔(Intel)在1987年制定的协议，主要是作为Microsoft网络的通讯协议。SMB 是在会话层（session layer）和表示层（presentation layer）以及小部分应用层（application layer）的协议。SMB使用了NetBIOS的应用程序接口 （Application Program Interface，简称API）。SMB协议是基于TCP－NETBIOS下的，一般端口使用为139，445。

什么是RDP服务？

远程桌面连接组件是从Windows 2000 Server开始由微软公司提供的，一般使用3389作为服务端口，当某台计算机开启了远程桌面连接功能后我们就可以在网络的另一端控制这台计算机了，通过远程桌面功能我们可以实时的操作这台计算机，在上面安装软件，运行程序，所有的一切都好像是直接在该计算机上操作一样。但对外开放RDP协议端口存在着安全风险，例如:遭受黑客对服务器账号的暴力破解等，一旦破解成功，将控制服务器，因此强烈建立您对windows服务器进行加固 。