windows server 2012 r2 漏洞
Windows Server 2012 R2 在 2023 年 10 月 10 日彻底结束了扩展支持。漏洞这意味着微软不再为它推送任何安全补丁。漏洞可现实是漏洞，大量企业内网、漏洞工厂产线、漏洞医疗设备后台，漏洞甚至某些政务系统，漏洞还跑着这台“老黄牛”。漏洞不是漏洞不想换，是漏洞动不了——应用绑死了，迁移成本高得吓人。漏洞于是漏洞漏洞就成了悬在头顶的刀。
最要命的漏洞一个，是漏洞 CVE-2020-1472，外号“Zerologon”。漏洞攻击者能在几秒内拿到域控权限，不需要任何凭证。原理是 Netlogon 协议里用了 AES-CFB8 加密，但初始化向量全零，导致密钥流可预测。听起来绕，实操很简单：一个 Python 脚本，对着域控发几十个包，直接改掉机器账户密码。微软在 2020 年 8 月发了补丁，但很多 2012 R2 机器因为“重启会影响生产”一直没打。我见过一家汽车零部件厂，域控就是 2012 R2，补丁拖了半年，结果被勒索软件从一台财务电脑横向渗透，一夜之间停了三条线。
另一个高频漏洞是 CVE-2019-0708，也就是“BlueKeep”。它出现在 RDP 服务里，预认证阶段就能触发远程代码执行。蠕虫化利用是迟早的事。2012 R2 默认不开 RDP 对外，但内网运维为了方便，经常把 3389 端口从外网映射进来。去年有个客户，把一台 2012 R2 的测试机暴露在公网做远程桌面，三天后就被挖矿木马占了。CPU 跑满，风扇狂转，查日志发现攻击者用的是 BlueKeep 的 Metasploit 模块。补丁其实早在 2019 年 5 月就有了，但机器没人管。
还有一类漏洞不靠远程代码执行，而是权限提升。比如 CVE-2021-1732，Windows 内核里 win32k 组件的类型混淆。本地攻击者能把自己从普通用户提到 SYSTEM。2012 R2 受影响。很多终端安全软件只防病毒，不防提权，攻击者先通过钓鱼拿到一个低权限账号，再用这个漏洞拿到系统权限，接着装后门、抓哈希。整个过程安静得很。
为什么这些漏洞在 2012 R2 上特别危险？因为系统本身老了。微软不再为它做代码审计，新发现的漏洞不会修。第三方安全软件也逐渐放弃支持——比如某些 EDR 客户端，新版本已经不支持 2012 R2。你只能靠防火墙规则、网络隔离、最小权限这些老办法硬扛。但内网里往往有几十台甚至上百台 2012 R2，管不过来。
我的判断很直接：如果这台 2012 R2 还连着内网，且不能打补丁（因为 ESU 也停了），那就把它当成“已沦陷”来对待。具体做法：用防火墙禁止它主动访问其他网段，只允许白名单端口；把它的本地管理员密码设成 20 位随机值，每台不同；关闭所有不必要的服务，尤其是 Netlogon 和 RDP，除非绝对必要。别指望杀毒软件能拦住 Zerologon 或 BlueKeep 的变种。最实际的方案是——要么花钱买第三方扩展支持（比如 0patch 提供微补丁），要么把应用迁到容器或新系统上。拖得越久，被盯上的概率越高。
最后说个细节：微软的 ESU 只给 Azure 虚拟机免费，本地部署要额外掏钱，而且价格每年翻倍。很多公司算完账，觉得“再撑一年”，结果第二年漏洞利用工具已经烂大街了。这不是技术问题，是预算和侥幸心理的博弈。但攻击者不会等你预算批下来。