8月教育網(wǎng)運(yùn)行正常，未發(fā)現(xiàn)影響嚴(yán)重的安全事件。
知名終端模擬軟件 XShell的廠商N(yùn)etSarang公司在8月7日發(fā)布安全公告，稱其最近更新（7月18日）的Xmanager Enterprise、Xmanager、Xshell、Xftp、Xlpd五款軟件存在安全風(fēng)險(xiǎn)，由于黑客入侵該公司的服務(wù)器，在正式發(fā)布的程序中預(yù)置了后門功能，如果用戶下載使用這些帶后門的版本，用戶使用的用戶名和密碼可能會(huì)被上傳到黑客指定的服務(wù)器上。
目前已知該后門會(huì)自動(dòng)連接到nylalobghyhirgh.com的域名上，并通過DNS協(xié)議隱藏傳輸?shù)臄?shù)據(jù)。學(xué)校的網(wǎng)絡(luò)管理員可以在學(xué)校的遞歸解析服務(wù)器上屏蔽對(duì)*.nylalobghyhirgh.com域名的查詢請(qǐng)求以中斷木馬的連接，并在出口流量中監(jiān)測(cè)相關(guān)域名的訪問來確定校內(nèi)受到該后門影響的IP。
近期新增嚴(yán)重漏洞評(píng)述
1、微軟8月的例行安全公告中修復(fù)了其多款產(chǎn)品中存在的122個(gè)安全漏洞，包括Windows10 v1703（14個(gè)）、Windows10 v1607 和 Windows Server 2016（11個(gè)）、Windows10 v1511（10個(gè)）、Windows10 RTM（10個(gè)）、Windows8.1 和 Windows Server 2012 R2（11個(gè)）、WindowsServer 2012（11個(gè)）、Windows7 和 Windows Server 2008 R2（10個(gè)）、WindowsServer 2008（9個(gè)）、IE瀏覽器 （7個(gè)）、Edge瀏覽器（28個(gè)）、Office辦公軟件（1個(gè)）。
2、其中需要特別關(guān)注的是Windows Search服務(wù)遠(yuǎn)程代碼執(zhí)行漏洞（https：//portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8620），漏洞源于Search程序未能正確的處理內(nèi)存中的對(duì)象，遠(yuǎn)程攻擊者可利用該漏洞執(zhí)行代碼或造成拒絕服務(wù)。
由于該漏洞可以直接通過遠(yuǎn)程服務(wù)445端口（SMB服務(wù)）利用，因此具備被利用來進(jìn)行蠕蟲傳播的可能，用戶應(yīng)該盡快使用Windows系統(tǒng)的自動(dòng)更新功能安裝相應(yīng)的補(bǔ)丁程序，官方發(fā)布的該漏洞的影響范圍中暫未涉及已經(jīng)停止更新的Winxp及Vista系統(tǒng)。
2、D-Link DIR系列路由器存在身份驗(yàn)證繞過漏洞和遠(yuǎn)程命令執(zhí)行漏洞，當(dāng)管理員登錄到設(shè)備時(shí)會(huì)觸發(fā)全局變量：$authorized_group > = 1。遠(yuǎn)程攻擊者可以使用這個(gè)全局變量繞過安全檢查，并使用它來讀取任意文件，獲取管理員賬號(hào)密碼等敏感信息。
另外系統(tǒng)管理界面fatlady.php頁(yè)面未對(duì)加載的文件后綴（默認(rèn)為XML）進(jìn)行校驗(yàn)，遠(yuǎn)程攻擊者可利用該缺陷以修改后綴方式直接讀取（DEVICE.ACCOUNT.xml.php）獲得管理員賬號(hào)密碼，后續(xù)通過觸發(fā)設(shè)備NTP服務(wù)方式注入系統(tǒng)指令，取得設(shè)備控制權(quán)。
D-Link DIR系列路由器屬于家用小型路由器，在學(xué)生宿舍中使用的范圍較廣，如果用戶給管理界面配置了外網(wǎng)IP，將可能導(dǎo)致路由器被控制進(jìn)而造成更大的風(fēng)險(xiǎn)。目前官方已經(jīng)發(fā)布新的系統(tǒng)版本，用戶需要手動(dòng)對(duì)受影響的路由器進(jìn)行更新操作。
安全提示
1、鑒于SMB服務(wù)面臨的攻擊風(fēng)險(xiǎn)，我們建議在校園網(wǎng)出口邊界禁封TCP 445端口的連接請(qǐng)求，SMB服務(wù)屬于局域網(wǎng)共享服務(wù)，原則上不建議跨網(wǎng)段提供服務(wù)。
2、學(xué)生在宿舍內(nèi)使用D-LINK無線路由器如果未正確配置（比如管理IP外露等），可能面臨被攻擊的風(fēng)險(xiǎn)，學(xué)校可以通過相關(guān)的技術(shù)手段定期對(duì)校內(nèi)的地址定期進(jìn)行掃描以確認(rèn)是否存在有風(fēng)險(xiǎn)的路由器設(shè)備并及時(shí)通知用戶進(jìn)行處理。
作者單位為中國(guó)教育和科研計(jì)算機(jī)網(wǎng)應(yīng)急響應(yīng)組
聯(lián)系客服
