SMB漏洞利用，风险、案例与防护措施
SMB（服务器消息块）协议漏洞是网络安全领域的重大威胁之一，攻击者常利用其漏洞（如永恒之蓝EternalBlue）发起勒索软件攻击或横向渗透，典型案例包括2017年WannaCry全球爆发，导致医疗、教育等行业系统瘫痪，漏洞利用方式涉及未授权访问、远程代码执行及权限提升，防护措施包括：及时安装补丁（如MS17-010）、关闭不必要的SMBv1协议、启用网络隔离与防火墙规则、实施最小权限原则，并定期进行漏洞扫描，企业还应部署入侵检测系统（IDS）和终端防护方案，通过多层级防御降低风险。
SMB协议及其安全风险
1 SMB协议概述
SMB协议最早由IBM开发，后被微软广泛采用，并在Windows操作系统中成为核心网络通信协议之一，SMB允许用户在局域网内共享文件、打印机和其他资源，随着技术的发展，SMB协议经历了多个版本的迭代，如SMB1、SMB2和SMB3,其中SMB1由于安全性较差已被微软逐步淘汰。
2 SMB协议的安全隐患
尽管SMB协议提供了便捷的网络资源共享功能,但其设计上存在诸多安全隐患：
- 未加密通信：早期版本的SMB（如SMB1）默认不加密数据，攻击者可利用中间人攻击（MITM）窃取敏感信息。
- 弱身份验证机制：SMB协议依赖NTLM（NT LAN Manager）认证，该机制易受暴力破解和Pass-the-Hash攻击。
- 缓冲区溢出漏洞：SMB协议在处理某些请求时可能存在缓冲区溢出漏洞,攻击者可利用此漏洞执行任意代码。
- 默认开放端口：SMB通常使用TCP 445端口，该端口在Windows系统中默认开放,增加了被攻击的风险。
典型SMB漏洞利用案例
1 EternalBlue漏洞（CVE-2017-0144）
EternalBlue是由美国国家安全局（NSA）发现并利用的一个SMB漏洞，后遭黑客组织“影子经纪人”（Shadow Brokers）泄露，该漏洞影响SMBv1协议,允许攻击者通过特制的数据包在目标系统上执行任意代码。
攻击影响：
- WannaCry勒索病毒（2017年）：利用EternalBlue漏洞在全球范围内感染超过20万台计算机,造成数十亿美元损失。
- NotPetya攻击（2017年）：伪装成勒索软件，实际目的是破坏数据，导致乌克兰、欧洲和美国多家企业遭受严重损失。
2 SMBGhost漏洞（CVE-2020-0796）
SMBGhost是2020年披露的一个SMBv3协议漏洞，攻击者可利用该漏洞在未授权的情况下远程执行代码，由于SMBv3广泛用于现代Windows系统（如Windows 10）,该漏洞影响范围极大。
攻击方式：
- 攻击者发送恶意压缩数据包，触发SMB服务器的缓冲区溢出,从而控制目标系统。
- 该漏洞可用于横向渗透,在企业内网中迅速传播。
3 Zerologon漏洞（CVE-2020-1472）
虽然Zerologon主要影响Netlogon协议，但它常与SMB攻击结合使用，攻击者可利用该漏洞获取域管理员权限,进而控制整个企业网络。
攻击链示例：
- 攻击者利用Zerologon漏洞获取域控权限。
- 通过SMB协议横向移动,窃取敏感数据或部署勒索软件。
SMB漏洞利用的常见攻击手法
1 暴力破解与凭证窃取
由于SMB依赖NTLM认证,攻击者可通过以下方式获取合法凭据：
- 暴力破解：使用工具如Hydra或Medusa尝试破解弱密码。
- Pass-the-Hash（PtH）攻击：获取NTLM哈希后，直接利用哈希进行认证,无需破解明文密码。
2 中间人攻击（MITM）
攻击者可利用ARP欺骗或LLMNR/NBT-NS投毒技术，诱使受害者向恶意服务器发送SMB认证请求,从而窃取凭据。
3 漏洞利用工具包
黑客常使用Metasploit、Cobalt Strike等工具自动化利用SMB漏洞，
- Metasploit的
exploit/windows/smb/ms17_010_eternalblue模块：可自动化攻击存在EternalBlue漏洞的主机。 - Impacket工具包：提供多种SMB攻击脚本，如
smbexec.py用于远程命令执行。
如何防御SMB漏洞利用？
1 禁用或升级SMB协议
- 禁用SMBv1：在Windows系统中，可通过PowerShell执行以下命令：
Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol
- 使用SMBv3并启用加密：确保SMB通信使用AES-128或AES-256加密。
2 网络隔离与访问控制
- 关闭不必要的SMB端口（445/TCP）：在防火墙中限制SMB端口的访问,仅允许可信IP访问。
- 使用VPN或零信任架构：避免SMB服务直接暴露在公网。
3 强化身份认证
- 启用SMB签名：防止中间人攻击。
Set-SmbServerConfiguration -RequireSecuritySignature $true
- 使用Kerberos替代NTLM：Kerberos认证更安全，可减少Pass-the-Hash攻击风险。
4 定期漏洞扫描与补丁管理
- 使用Nessus、OpenVAS等工具扫描SMB漏洞。
- 及时安装Windows更新,尤其是涉及SMB的安全补丁。