（原標(biāo)題：20-year-old Windows bug lets printers install malware—patch now）
網(wǎng)易科技訊 7月14日消息，據(jù)美國知名科技博客媒體Ars Technica報道，過去20多年間，微軟Windows漏洞為黑客提供了諸多便利，包括允許他們在選定的電腦上秘密安裝惡意軟件，這些電腦通常與局域網(wǎng)中的誘殺打印機或其他偽裝成打印機的裝置相連。在最近發(fā)布的補丁中，微軟終于修復(fù)了這個漏洞。
這個漏洞存在于Windows Print Spooler中，它負(fù)責(zé)管理連接可用打印機的過程和打印文件。Point-and-Print協(xié)議允許首次連接網(wǎng)絡(luò)托管打印機的人在使用之前立即自動下載必要的驅(qū)動程序。通過存儲在打印機或打印服務(wù)器上的共享驅(qū)動程序工作，消除了用戶必須手動下載和安裝的麻煩。
然而安全公司Vectra Networks的研究人員發(fā)現(xiàn)，當(dāng)遠程安裝打印驅(qū)動程序時，Windows Print Spooler無法正確驗證。這個漏洞可以讓黑客使用不同的技術(shù)傳送經(jīng)過惡意修改的驅(qū)動程序，而非打印機制造商提供的合法驅(qū)動程序。黑客可利用它將打印機、打印機驅(qū)動程序或任何偽裝成打印機的聯(lián)網(wǎng)裝置變成內(nèi)置驅(qū)動工具包，無論何時連接它們，設(shè)備都將被感染。
Vectra Networks的研究員尼克·博謝納（Nick Beauchesne）在其博客上詳細(xì)描述了這個漏洞，他寫道：“這些惡意軟件不僅可感染網(wǎng)絡(luò)中的多臺機器，還能重復(fù)感染。尋找根本原因可能很難，因為打印機本身可能并非常見的懷疑對象。我們最終將驅(qū)動程序的安全責(zé)任交給打印機，但這些設(shè)備可能并非像我們希望的那樣安全或堅不可摧。”
安全公司Special Circumstances的首席安全專家摩爾（HD Moore）表示，黑客有各種各樣利用漏洞的方法。一種方法就是連接筆記本電腦或其他便攜設(shè)備偽裝成網(wǎng)絡(luò)打印機。當(dāng)同一個網(wǎng)絡(luò)中的用戶連接時，設(shè)備就可以自動發(fā)送惡意驅(qū)動程序。另一種方法是監(jiān)控合法網(wǎng)絡(luò)打印機的流量設(shè)置，等待受害者自己添加打印機到其系統(tǒng)中。黑客可以劫持打印機驅(qū)動程序的請求，以惡意驅(qū)動程序回應(yīng)。摩爾說：“這種中間人式攻擊可通過開放的Wi-Fi網(wǎng)絡(luò)或利用ARP騙過有線網(wǎng)絡(luò)進行?！?/p>
黑客還可以對打印機進行“逆向工程”，修改其固件，以便于傳送經(jīng)過惡意修改的驅(qū)動程序。盡管這種方法十分難，但Vectra的研究人員卻進行了成功試驗。Point-and-Print協(xié)議中的另一個漏洞也可能讓不受信任的用戶提高賬戶權(quán)限，甚至提升至管理員狀態(tài)。
Vectra Networks的研究人員嘗試攻擊組合設(shè)備，包括身份不明的打印機和運行Windows XP（32位）、Windows 7（32位）、Windows 7（64位）、 Windows 2008 R2 AD 64、Ubuntu CUPS以及Windows 2008 R2 64打印服務(wù)器的電腦。他們發(fā)現(xiàn)，這個漏洞可追溯到Windows 95。
對于那些關(guān)心這個漏洞的用戶，摩爾表示，微軟的最新更新并未關(guān)閉代碼執(zhí)行孔，只是增加了警告。但是鑒于大多數(shù)用戶可能不會對這個警告做出回應(yīng)，因此其似乎并非有效方式。
令人感到欣慰的是，代碼執(zhí)行攻擊對企業(yè)設(shè)置效果不大，但是對家庭、中小企業(yè)的攻擊可能有效，特別是那些允許人們連接他們自己設(shè)備的中小企業(yè)。摩爾說：“對于擁有BYOD筆記本電腦的公司來說，風(fēng)險可能更高。這些公司在公共網(wǎng)絡(luò)、企業(yè)網(wǎng)絡(luò)上允許使用個人筆記本電腦。說服人們添加打印機可能很難，但可能有其他網(wǎng)絡(luò)攻擊方式趨勢人們這樣做，比如劫持HTTP請求，敦促用戶去執(zhí)行等?！保ㄐ⌒。?/p>
