保障高校DNS服务安全不容小觑

文/郑先伟

近期需要关注的还是敲诈类病毒，这类病毒已经能通过多种途径（包括利用系统漏洞、服务漏洞、电子邮件等）进行传播。用户一旦感染系统上的文件就会被加密，同时病毒会向被感染者发送提示宣称只要支付一定数额的比特币就可以对加密文件进行解密。而从目前的实际处置情况来看，多数时候这类病毒一旦加密了你的数据文件，再想解密回来基本很难，即便是在按照攻击者的要求交付了赎金也很难将被加密的文件恢复。因此备份重要数据和杜绝感染才有最有效的办法。

近期新增严重漏洞评述：

1.微软7月的例行安全公告修复了微软多款产品中存在的87个安全漏洞。受影响的产品包括Windows 10 v1803 and Server 2016（7个）、Windows 10 v1709（8个）、Windows 10 v1703（8个）、Windows 8.1 and Windows Server2012 R2（9个）、Windows Server 2012（8个）、Windows 7 and Windows Server 2008R2（8个）、Windows Server 2008（7个）、Internet Explorer（6个）、Microsoft Edge（19个）和Microsoft Office（7个）。利用上述漏洞，攻击者可以获取敏感信息，提升权限，欺骗，绕过安全功能限制，执行远程代码，或进行拒绝服务攻击等。这其中一个Windows系统权限提升漏洞（CVE-2018-8120）需要特别关注，该漏洞从3月开始就被用来进行0day攻击，当时是与Adobe acrobat/reader软件的一个0day漏洞（已在4月的Adobe更新中得到了修补）进行搭配使用的。建议用户尽快利用系统的自动更新功能进行补丁安装。

2018年6～7月安全投诉事件统计

2.本月Oracle发布了今年第三季度的安全更新，修复了其多款产品中存在的334个安全漏洞。受影响的产品包括：Oracle Database Server数据库（3个）、Oracle Global Lifecycle Management（1 个）、CommunicationsApplications（14个 ）、Construction and Engineering Suite（11个）、电子商务套装软件OracleE-Business Suite（14个）、MySQL数据库（31个）、中间件产品Fusion Middleware（44个）、Oracle Siebel托管型CRM软件（1个）；Enterprise Manager Products Suite（16个）、OracleFinancial Services Applications（56个）、Hospitality Applications（24个）、Oracle Policy Automation（3个）Retail Applications（31个）、Support Tools（1个）、Utilities Applications（4个）、Insurance Applications（2个）、Hyperion（2个）、iLearning（1个）、JD Edwards产品（10个）、PeopleSoft产品（15个）Oracle Sun系统产品（22个）、Java SE（8个）、Supply Chain Products Suite（8个）、和Virtualization（12个）。这些漏洞中包含一个在4月CPU补丁中未能完全修复的WeblogicServer反序列化漏洞（CVE-2018-2628）。该漏洞通过JRMP协议利用RMI机制的缺陷达到执行任意反序列化代码的目的。攻击者可以在未授权的情况下将payload封装在T3协议中，通过对T3协议中的payload进行反序列化，从而实现对存在漏洞的WebLogic组件进行远程攻击，执行任意代码并可获取目标系统的所有权限。建议Oracle的用户尽快更新相应的补丁程序。

3.微信支付JAVA软件工具开发包（SDK）被曝存在XXE漏洞。利用该漏洞，攻击者可在使用信息泄露、扫描爆破等特殊手段获知商户的通知接口（callback）地址的前提下，发送恶意XML实体，在商户服务器上执行代码，实现对商户服务器的任意文件读取。如果攻击者进一步获得商家的关键安全密钥，就可能通过发送伪造信息实现零元支付。这个漏洞可能会影响到使用了微信支付接口的校园网应用，需要引起管理者的关注。

安全提示

近期，教育部在组织专项安全检查工作时发现有部分学校的DNS服务器存在严重的安全隐患。随后我们受托对这些学校进行通知并协助用户进行处置，在处置过程中我们发现由于DNS服务配置较为复杂，学校往往缺乏专业的人员对其进行管控导致存在各种安全隐患。DNS服务作为重要的基础网络服务，其安全性应该引起学校的充分重视，建议指派专业的技术人员对该服务进行管理，如果没有足够的技术储备，可以将相关服务托管到专业的运维机构。