smb弱口令漏洞如何修复

去年某地一家中型制造企业被勒索病毒锁死了全部ERP服务器，口令攻击链的漏洞起点就是一台暴露在公网的Windows文件服务器——管理员账号叫"admin"，密码是何修"admin123"。这不是口令段子，是漏洞真实发生的事。SMB弱口令漏洞的何修修复，核心只有两件事：让口令不再弱，口令让SMB不再裸奔。漏洞

先说口令本身。何修很多运维人员觉得改密码是口令形式主义，但SMB协议的漏洞特殊性在于，它天然支持NTLM哈希传递攻击。何修弱口令一旦被爆破成功，口令攻击者不需要明文密码就能横向移动。漏洞我见过最离谱的何修案例，某公司内网三百多台机器共用同一个本地管理员密码"P@ssw0rd"，一个被攻破，全部沦陷。修复方案很直接：域环境启用组策略强制密码复杂度，长度至少14位，禁用NTLMv1，启用LSA保护。工作组环境更麻烦，每台机器的本地管理员密码必须不同，微软的LAPS工具就是干这个的，自动轮换、随机生成、存进AD。别嫌麻烦，一台机器手动改密码的时代早该结束了。

口令改完，接下来砍掉SMB的暴露面。445端口是SMB的命门，勒索病毒最爱。很多企业为了文件共享方便，直接在防火墙上把445映射到公网，这等于把保险柜钥匙插在门上。正确做法是：公网入口只保留VPN，SMB流量一律走内网或隧道。内网之间也要做微隔离，财务部访问不了研发部的共享，生产网段和办公网段之间加ACL。Windows防火墙默认规则里，文件和打印机共享是分域、专用、公用三种配置文件分别控制的，公用配置文件下必须关掉。我习惯用一条PowerShell批量检查：Get-NetFirewallRule -DisplayGroup "文件和打印机共享" | Where-Object { $_.Profile -eq "Public"} | Set-NetFirewallRule -Enabled False。跑完心里踏实一半。

SMB协议版本也得管。SMBv1是个老古董，WannaCry就是靠它传播的。现在还有不少老旧设备只认SMBv1，比如某些扫描仪、NAS。我的建议是分两步走：先禁用SMBv1但保留SMBv2/v3，观察哪些设备掉线；然后逐个替换或隔离那些老设备。Windows Server 2016以后默认不装SMBv1，但升级上来的系统可能还留着。检查命令是Get-SmbServerConfiguration | Select EnableSMB1Protocol，返回True就赶紧关。SMB签名和加密也别忽略，签名防中间人篡改，加密防流量嗅探。域控之间强制签名，客户端访问敏感共享时开加密，性能损失在可接受范围内。

审计和监控是最后一道闸。弱口令爆破在日志里是有痕迹的，Windows安全日志的4625事件，大量失败登录后跟着4624成功登录，基本就是被拿下了。很多企业日志开了没人看，等发现时数据已经被加密。部署一个轻量级SIEM或者用Windows自带的Advanced Audit Policy，针对SMB登录失败设置阈值告警。我自己的习惯是每周扫一次内网SMB共享权限，用net view和accesschk组合，看看有没有"Everyone"完全控制的目录。有的话立刻收紧，只给必要用户读写权限。

说个真实对比。两家同样规模的公司，A公司觉得改密码太烦，445端口对内网全开，SMBv1留着兼容老设备；B公司上了LAPS，防火墙只放行特定IP的445，SMBv1彻底禁用，每季度做一次弱口令扫描。半年后A公司中招勒索，B公司连扫描告警都没触发过。修复SMB弱口令没有黑科技，就是把该关的关掉，该改的改掉，该看的看起来。动手做，比写一百页方案都管用。