注意！Exchange SSRF 漏洞安全預警通告

微軟的 Exchange 先前被爆出存在 SSRF 漏洞，漏洞編號為： CVE-2018-8581 。此漏洞先前被公開的利用方案可導致攻擊者在擁有目標網路一個郵箱許可權的情況下接管網路內任何人的收件箱（下文中將此利用方案將被稱為“攻擊方案一”），造成嚴重的資訊洩露。

360 A-TEAM 一個月前就此漏洞可造成的另一更嚴重後果（即攻擊者可利用此漏洞直接控制目標網路內的 Windows 域進而控制域內所有 Windows 機器，下文中將此方案稱為“攻擊方案二”）聯絡微軟官方 SRC ，當時官方 SRC 表示並不願意為此問題推出修復補丁（近日有微軟官方人員表示將在二月釋出安全補丁）。現該方案已被國外安全研究人員公開。

需要注意的是，微軟在以下連結中為 CVE-2018-8581 所推出的緩解措施對緩解“攻擊方案二”沒有任何幫助，其只能在一定情況下緩解“攻擊方案一”。

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8581

安全監測與響應中心將持續關注該漏洞進展，並第一時間為您更新該漏洞資訊，您也可以關注我們的新公眾號獲取相關資訊以及今後的預警資訊。

風險等級

360安全監測與響應中心風險評級為： 高危

預警等級： 藍色預警 （一般網路安全預警）

影響範圍

Microsoft Exchange Server 2010

Microsoft Exchange Server 2013

Microsoft Exchange Server 2016

Microsoft Exchange Server 2019

注： Exchange 許可權模型分為 Split Permission Model 與 Shared Permission Model （預設），採用 Split Permission Model 的 Exchange 伺服器不受此攻擊方案影響。

處置建議

Import-Module  ActiveDirectory

$Root =  [ ADSI ] "LDAP://RootDSE"

$domain =  -Join( "AD:\" , $Root.Get ( "rootDomainNamingContext" ))

echo $domain

cd $domain

$AllReplACLs =  ( Get-AcL ).Access  | Where-Object {$_ .ObjectType  -eq '1131f6ad-9c07-11d1-f79f-00c04fc2dcd2'  -or $_ .ObjectType -eq '1131f6aa-9c07-11d1-f79f-00c04fc2dcd2' }

foreach ( $ACL in $AllReplACLs )

{

$user = New-Object  System.Security.Principal.NTAccount( $ACL.IdentityReference )

$SID = $user.Translate ([ System.Security.Principal.SecurityIdentifier ])

$RID = $SID.ToString ().Split( "-" )[ 7 ]

if ([ int ] $RID  -gt 1000 )

{

Write-Host "Permission  to Sync AD granted to:" $ACL.IdentityReference

}

}

2.      執行 check_dcsync.ps1

3.      如果看到了有使用者名稱輸出，說明域記憶體在具備特殊許可權的使用者，很可能是遭到了相關的攻擊行為導致，需要請求專業安全團隊協助調查：