在剛剛結(jié)束的DEFCON安全大會上，有安全研究人員披露了一個與Windows SMB協(xié)議相關(guān)的0 Day漏洞。該漏洞可被利用進行遠(yuǎn)程DOS攻擊，造成Windows系統(tǒng)內(nèi)存耗盡崩潰。
據(jù)研究人員稱，該漏洞是分析“永恒之藍”漏洞衍生出的新漏洞，目前微軟官方認(rèn)為該漏洞屬于中等問題，不會修復(fù)此漏洞，并建議用戶通過禁用SMBv1協(xié)議進行規(guī)避。
一、漏洞信息
[CVE-ID]:無
[漏洞類型]：遠(yuǎn)程拒絕服務(wù)漏洞
[危害等級]：高危
[影響版本]：Windows 2000及以上版本運行SMBv1協(xié)議的系統(tǒng)
二、漏洞分析
與利用常見的botnet方式發(fā)起的DDoS攻擊不同，攻擊者通過單臺機器就可以利用該漏洞導(dǎo)致目標(biāo)Windows系統(tǒng)崩潰。根據(jù)安全狗初步分析，Windows內(nèi)核的非分頁池（non-paged pool）上處理內(nèi)存分配的方式存在問題，可能導(dǎo)致內(nèi)存池耗盡。遠(yuǎn)程攻擊者可以通過向開放了139或445端口的目標(biāo)Windows系統(tǒng)發(fā)送特制SMB報文導(dǎo)致分配所有可用內(nèi)存，操作系統(tǒng)在耗盡所有內(nèi)存后會僵死，但不會記錄下日志或使系統(tǒng)藍屏，因此遠(yuǎn)程攻擊者可以利用該漏洞實施DoS攻擊。
三、排查方法
1、Windows Server 2012檢查SMBv1狀態(tài)的方法：
打開“開始菜單”中的 “Windows PowerShell”程序，在命令行輸入并執(zhí)行以下指令：
Get-SmbServerConfiguration | Select EnableSMB1Protocol
如果打印“Ture”，則說明SMBv1為開啟狀態(tài)。
2、Windows Server 2008檢查SMBv1狀態(tài)的方法：
打開“開始”菜單中的“運行”程序，執(zhí)行“regedit”命令打開注冊表，以下注冊表子項中添加SMB1，類型為REG_DWORD，將值設(shè)置為0：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
當(dāng)SMB1值為0時，SMBv1狀態(tài)為已禁用
當(dāng)SMB1值為1時，SMBv1狀態(tài)為已啟用
四、應(yīng)急處理方式
注意：修復(fù)漏洞前請將資料備份，并進行充分測試。
1. 關(guān)閉SMBv1
a）Windows Server 2012關(guān)閉SMBv1的方法
在power shell中運行命令：
Set-SmbServerConfiguration -EnableSMB1Protocol $false
b）Windows Server 2008禁用SMBv1的方法
請使用 Windows PowerShell 或注冊表編輯器
更多系統(tǒng)的詳細(xì)配置方法，請參考微軟官網(wǎng)指導(dǎo)
https://support.microsoft.com/zh-cn/help/2696547/how-to-enable-and-disable-smbv1-smbv2-and-smbv3-in-windows-and-windows
2. 在系統(tǒng)防火墻或者安全組對445、139端口進行限制。