注意！Exchange SSRF 漏洞安全预警通告

微软的 Exchange 先前被爆出存在 SSRF 漏洞，漏洞编号为： CVE-2018-8581 。此漏洞先前被公开的利用方案可导致攻击者在拥有目标网络一个邮箱权限的情况下接管网络内任何人的收件箱（下文中将此利用方案将被称为“攻击方案一”），造成严重的信息泄露。

360 A-TEAM 一个月前就此漏洞可造成的另一更严重后果（即攻击者可利用此漏洞直接控制目标网络内的 Windows 域进而控制域内所有 Windows 机器，下文中将此方案称为“攻击方案二”）联系微软官方 SRC ，当时官方 SRC 表示并不愿意为此问题推出修复补丁（近日有微软官方人员表示将在二月发布安全补丁）。现该方案已被国外安全研究人员公开。

需要注意的是，微软在以下链接中为 CVE-2018-8581 所推出的缓解措施对缓解“攻击方案二”没有任何帮助，其只能在一定情况下缓解“攻击方案一”。

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8581

安全监测与响应中心将持续关注该漏洞进展，并第一时间为您更新该漏洞信息，您也可以关注我们的新公众号获取相关信息以及今后的预警信息。

风险等级

360安全监测与响应中心风险评级为： 高危

预警等级： 蓝色预警 （一般网络安全预警）

影响范围

Microsoft Exchange Server 2010

Microsoft Exchange Server 2013

Microsoft Exchange Server 2016

Microsoft Exchange Server 2019

注： Exchange 权限模型分为 Split Permission Model 与 Shared Permission Model （默认），采用 Split Permission Model 的 Exchange 服务器不受此攻击方案影响。

处置建议

Import-Module  ActiveDirectory

$Root =  [ ADSI ] "LDAP://RootDSE"

$domain =  -Join( "AD:\" , $Root.Get ( "rootDomainNamingContext" ))

echo $domain

cd $domain

$AllReplACLs =  ( Get-AcL ).Access  | Where-Object {$_ .ObjectType  -eq '1131f6ad-9c07-11d1-f79f-00c04fc2dcd2'  -or $_ .ObjectType -eq '1131f6aa-9c07-11d1-f79f-00c04fc2dcd2' }

foreach ( $ACL in $AllReplACLs )

{

$user = New-Object  System.Security.Principal.NTAccount( $ACL.IdentityReference )

$SID = $user.Translate ([ System.Security.Principal.SecurityIdentifier ])

$RID = $SID.ToString ().Split( "-" )[ 7 ]

if ([ int ] $RID  -gt 1000 )

{

Write-Host "Permission  to Sync AD granted to:" $ACL.IdentityReference

}

}

2.      运行 check_dcsync.ps1

3.      如果看到了有用户名输出，说明域内存在具备特殊权限的用户，很可能是遭到了相关的攻击行为导致，需要请求专业安全团队协助调查：