微軟修復20多年的老漏洞：Win95時就存在了

據(jù)美國知名科技博客媒體Ars Technica報道，過去20多年間，微軟Windows漏洞為黑客提供了諸多便利，包括允許他們在選定的電腦上秘密安裝惡意軟件，這些電腦通常與局域網(wǎng)中的誘殺打印機或其他偽裝成打印機的裝置相連。在最近發(fā)布的補丁中，微軟終于修復了這個漏洞。

這個漏洞存在于Windows Print Spooler中，它負責管理連接可用打印機的過程和打印文件。Point-and-Print協(xié)議允許首次連接網(wǎng)絡托管打印機的人在使用之前立即自動下載必要的驅(qū)動程序。通過存儲在打印機或打印服務器上的共享驅(qū)動程序工作，消除了用戶必須手動下載和安裝的麻煩。

然而安全公司Vectra Networks的研究人員發(fā)現(xiàn)，當遠程安裝打印驅(qū)動程序時，Windows Print Spooler無法正確驗證。這個漏洞可以讓黑客使用不同的技術傳送經(jīng)過惡意修改的驅(qū)動程序，而非打印機制造商提供的合法驅(qū)動程序。黑客可利用它將打印機、打印機驅(qū)動程序或任何偽裝成打印機的聯(lián)網(wǎng)裝置變成內(nèi)置驅(qū)動工具包，無論何時連接它們，設備都將被感染。

Vectra Networks的研究員尼克·博謝納（Nick Beauchesne）在其博客上詳細描述了這個漏洞，他寫道：“這些惡意軟件不僅可感染網(wǎng)絡中的多臺機器，還能重復感染。尋找根本原因可能很難，因為打印機本身可能并非常見的懷疑對象。我們最終將驅(qū)動程序的安全責任交給打印機，但這些設備可能并非像我們希望的那樣安全或堅不可摧?！?/p>

安全公司Special Circumstances的首席安全專家摩爾（HD Moore）表示，黑客有各種各樣利用漏洞的方法。一種方法就是連接筆記本電腦或其他便攜設備偽裝成網(wǎng)絡打印機。當同一個網(wǎng)絡中的用戶連接時，設備就可以自動發(fā)送惡意驅(qū)動程序。另一種方法是監(jiān)控合法網(wǎng)絡打印機的流量設置，等待受害者自己添加打印機到其系統(tǒng)中。黑客可以劫持打印機驅(qū)動程序的請求，以惡意驅(qū)動程序回應。摩爾說：“這種中間人式攻擊可通過開放的Wi-Fi網(wǎng)絡或利用ARP騙過有線網(wǎng)絡進行?！?/p>

黑客還可以對打印機進行“逆向工程”，修改其固件，以便于傳送經(jīng)過惡意修改的驅(qū)動程序。盡管這種方法十分難，但Vectra的研究人員卻進行了成功試驗。Point-and-Print協(xié)議中的另一個漏洞也可能讓不受信任的用戶提高賬戶權限，甚至提升至管理員狀態(tài)。

Vectra Networks的研究人員嘗試攻擊組合設備，包括身份不明的打印機和運行Windows XP（32位）、Windows 7（32位）、Windows 7（64位）、 Windows 2008 R2 AD 64、Ubuntu CUPS以及Windows 2008 R2 64打印服務器的電腦。他們發(fā)現(xiàn)，這個漏洞可追溯到Windows 95。

對于那些關心這個漏洞的用戶，摩爾表示，微軟的最新更新并未關閉代碼執(zhí)行孔，只是增加了警告。但是鑒于大多數(shù)用戶可能不會對這個警告做出回應，因此其似乎并非有效方式。

令人感到欣慰的是，代碼執(zhí)行攻擊對企業(yè)設置效果不大，但是對家庭、中小企業(yè)的攻擊可能有效，特別是那些允許人們連接他們自己設備的中小企業(yè)。摩爾說：“對于擁有BYOD筆記本電腦的公司來說，風險可能更高。這些公司在公共網(wǎng)絡、企業(yè)網(wǎng)絡上允許使用個人筆記本電腦。說服人們添加打印機可能很難，但可能有其他網(wǎng)絡攻擊方式趨勢人們這樣做，比如劫持HTTP請求，敦促用戶去執(zhí)行等?！?/p>